¿Hay alguna forma de desactivar un disco o un controlador de disco antes de que OSX arranque?

Contexto:

Utilizo un mac para operaciones forenses de recuperación de datos, y para cumplir con los requisitos de mis usuarios, necesito garantizar que no se realicen escrituras en un disco duro físico conectado a un mac hasta que un usuario habilite el disco.

Pregunta:

¿Es posible desactivar todo el acceso a un disco, puerto SATA o controlador de disco completamente fuera del SO, antes de que el sistema arranque ?

Desactivar sólo el acceso de lectura es aceptable, pero tiende a ser más difícil de verificar en comparación con "hacer que el ordenador actúe como si el propio disco no estuviera conectado".

Cuando hacíamos la recuperación de datos con una torre casera de Linux, íbamos a la BIOS y desactivábamos el puerto SATA con los discos sensibles en él.

Está bien desactivar todo el controlador de disco como parte de una solución; estos sistemas se inician externamente desde dispositivos USB, y los discos duros internos no se utilizarán hasta que se vuelvan a activar.

El puerto físico al que están conectados los discos en cuestión no cambiará.

Lo que he probado:

He visto las soluciones a esta pregunta . Todas esas soluciones desactivan los discos justo después del arranque Lo cual no es suficiente: desactivar el automontaje del disco u ocultarlo de la gestión de discos de OSX no satisface los requisitos de auditoría de los usuarios (ciertamente tontos).

Otras ideas:

¿Es posible hacer esto desde un shell EFI? Estoy feliz de instalar rEFInd o similar en los USBs de arranque.

¿Hay alguna configuración de la nvram que se pueda cambiar para lograr esto?

¿Existen parámetros de arranque del kernel que indiquen a OSX que no inicialice o utilice un dispositivo PCI, un árbol o un disco?

¿Hay módulos del kernel que pueda instalar para conseguirlo? Si es así, probablemente tendrían que ser de código abierto para que los usuarios pudieran auditarlos y asegurarse de que se cargan con la suficiente antelación para no dejar pasar ninguna escritura.

Dado que el SO de recuperación es USB, ¿hay kexts que pueda desinstalar ¿para desactivar el acceso a todos los discos/dispositivos SATA?