Depois de mais alguns ajustes, acho que descobri.
IIS Manager > [My Site] > Handler Mappings > Edit Feature Permissions > uncheck "Script"
Isso desabilita a maioria dos manipuladores, o que impede o asp clássico & asp.net arquivos de execução, mas ainda serve html.
Não tenho certeza se esta é a maneira correta, mas parece funcionar.