Descobri. As falhas de login são registradas no sistema de log de eventos. Eles podem ser recuperados procurando a identificação de evento 4625 no visualizador de eventos.
Meu cliente está tentando acessar o serviço da Web pela Web, mas está recebendo o erro HTTP Proibido. Não sei se o problema está no meu serviço ou se está no serviço de proxy do cliente. Como posso definir o IIS para registrar tentativas de falha também?