Пожалуйста, попробуйте это правило.
Это правило будет разрешать пустую ссылку или локальный хост и запрос на блокировку, ссылающиеся на другой домен.
<rule name="abort rule" enabled="true" stopProcessing="true">
<match url="(.*)" />
<conditions>
<add input="{HTTP_REFERER}" pattern="(^$|localhost)" negate="true" />
</conditions>
<action type="AbortRequest" />
</rule>