Dê uma olhada nos registros de acesso% system32% \ LogFiles \ W3SVC1 \ exyymmdd.log.
Você pode usar o LogParser para consultar ( link )
Algo como:
logparser "select count(cs-uri-stem), cs-uri-stem from <LOGFILE>.log where sc-status=401 group by cs-uri-stem order by count(cs-uri-stem)"