O Arbitrador de Disco de Aaron Burghardt faz quase o que você quer. Enquanto está sendo executado, ele pode ser configurado para rejeitar novas montagens ou forçar novas montagens a serem somente leitura (ou pode ser desativado, portanto, novas montagens acontecem normalmente). No entanto, ele aplica sua política a todos os volumes anexados enquanto o programa está em execução (independentemente de terem sido vistos ou não) e não se aplica a volumes anexados (e, portanto, montados) na inicialização do sistema (ou seja, antes de você ter uma chance). para executar o programa). Mas é de código aberto, por isso, se não estiver perto o suficiente do que você deseja, você poderá modificá-lo ...
(BTW: crédito vai para @chrisk por trazer o Disk Arbitrator à minha atenção em esta resposta anterior para uma pergunta semelhante.)