Por que minha configuração do IIS está mudando?

Question

Hospedamos um site do cliente (o hardware está em um data center de terceiros, mas administramos o software). Em várias ocasiões diferentes, o cliente relatou um problema com o site e, quando entrei na máquina, descobri que a configuração do IIS mudou - o método de autenticação foi alterado (deve ser básico, mas mudou para formulários), o padrão o documento está habilitado (deve ser desabilitado) e a navegação no diretório está desabilitada (deve estar habilitada). As alterações de configuração são as mesmas a cada vez.

Até agora eu tentei ...

• Auditoria do IIS. As únicas alterações que foram registradas são aquelas que eu fiz toda vez que eu fixei a configuração do IIS
• Histórico de alterações da configuração. Eu revisei o c: \ inetpub \ history e, de acordo com os instantâneos, nada mudou. Em outras palavras, os instantâneos só têm as configurações corretas, eles nunca mostram que havia configurações incorretas.
• Agendador de tarefas. Revi todas as tarefas (incluindo as tarefas do Windows) e não vejo nada que possa alterar a configuração do IIS. Além disso, embora esse evento tenha ocorrido mensalmente desde que o site foi publicado, ele não está acontecendo em um dia consistente da semana (primeira segunda-feira, dia 15 do mês, etc.), portanto, ele não parece ter um acionador de data.

O que poderia estar mudando as configurações do IIS do meu site todo mês? Como posso rastrear o culpado?

Especificações:

• Windows Server 2008 R2
• IIS 7.5
• McAfee Virus Scanner (registros verificados, não viu nenhuma arma fumegante)

Atualizar Para responder algumas das perguntas nos comentários: não estamos usando o Exchange ou o Sharepoint. Verifiquei o arquivo web.config local e ele não contém as configurações de autenticação, documento padrão ou pesquisa de diretório. Todos eles estão sendo armazenados no applicationHost.config.