Вы можете использовать HttpModule и прикрепить обработчик к событию AuthenticateRequest.Внутри вашего обработчика используйте Regex для сопоставления с URL-адресом входящего запроса, и, если он совпадает, проверьте роли пользователя, который в данный момент вошел в систему. Вы также можете настроить его на чтение конфигурации из Web.config, если это то, чтоВы после.