Você poderia fazer isso criando uma pasta onde ficaram todos os seus aquivos protegidos e dentro dessa pasta você criaria um arquivo **.htaccess** colocando essa instrução dentro dele:

    Deny from all


E na raiz da sua aplicação onde estiver o arquivo index.php você colocaria outro .htaccess com os seguintes comandos:

    RewriteEngine on
    
    RewriteCond %{REQUEST_FILENAME} !-f
    RewriteCond %{REQUEST_FILENAME} !-d
    RewriteRule ^(.*)$ /index.php/$1 [L]

Onde dentro do arquivo index.php você teria que tratar o argumento $1 da requisição.