Это зависит от того, в какой версии IIS вы развертываете / тестируете.
Я обнаружил, что при использовании версии IIS менее 7 ваш новый HttpModule должен быть объявлен в теге System.web / HttpModules. В версии 7 и выше он должен быть в теге System.webserver / Modules.
В IIS включите только анонимную аутентификацию.