От скачивания вообще — никак. Особенно, когда к делу подходит специалист. Но от комбинации тупой программы и неподготовленного пользователя — вполне можно.
Суть в том, что по невидимой ссылке пользователь никогда не перейдет (разве что специально раскопает ее в коде и вобъет в браузер). Как только зафиксирован запрос с указанным в этой ссылке URL, скрипт должен добавить IP запросившего во список временной блокировки. Соотв., нужны механизмы проверки по черному списку для всех контролируемых URL и механизм периодической очистки черного списка.
Подводным камнем тут является то, что защита должна пропускать поисковых роботов (если индексация сайта необходима). Проверки User-Agent недостаточно и более того — она вредна, т.к. те же поисковики тоже могут выдавать себя за простых пользователей для контроля за ссылками чисто для поисковиков. К примеру, ссылку-датчик можно снабдить свойством "nofollow,noindex".
В общем, задача творческая.
