Isso deve dar a você todas as atividades do sistema de arquivos (OK: mais. O que eu esqueci? Sockets?) que incluem gravações:
strace -f command 2>&1 |
grep -e '^open.*O_CREAT' \
-e ^write \
-e ^mkdir \
-e ^rmdir \
-e ^unlink \
-e ^rename \
-e ^chmod \
-e ^link \
-e ^symlink \
-e ^mknod
Com esta informação, um ambiente chroot funcional pode ser criado no tmpfs (como uma ação de último recurso; talvez symlinks para tmpfs sejam suficientes). Se o programa for iniciado em um chroot de RAM, ele não terá a chance de ativar o disco diretamente. Nenhuma gravação em sua hierarquia de sistema de arquivos é gravada em disco.