[KomatoZo]

Дальше:
1) в свойствах виртуального каталога стоит как минимум галочка чтение и выбрано внизу "разрешен запуск"
2) в безопасности каталога и каждого файла в каталоге стоит только анонимная авторизация. Пользователь IUSR_MachineName
Вообще интернет источники говорят, что приведенные Вами логи свидетельствуют о "401.5 Denied by Custom ISAPI/CGI Web Application"
Вот что там дальше:
This error indicates that some ISAPI Extension or CGI Web Application sent back a structured 401 response of some sort.

The reasons why the CGI/ISAPI are returning such 401 responses are completely arbitrary and uncontrollable by IIS. You will need to determine WHICH CGI/ISAPI is returning the response and obtain support for it.

In the case of requests that execute .DLL or .EXE requests, the CGI/ISAPI binary is clear. In the case of requests with Extensions that have Application Mapping (i.e. the .asp extension is mapped to the ASP ISAPI DLL Script Engine), you need to look up the extension and its associated Application Mapping in the URL's scope to determine the Script Engine to obtain support."
Посмотрите что тут да как, а я предприму дальнейшие исследования.

Да... Абсолютно точно: 401.5 - Доступ запрещен приложением ISAPI/CGI.
Осталось теперь только выяснить, что бы это значило в данном конкретном случае.