Система безопасности IIS 7.0, базируется на коде IIS 6.0, который заслуженно признан на высоком уровне безопасности, так как кропотливая методика создания кода и принципы разработки с внедренной защитой хорошо сработали. На этой базе IIS 7.0 внедряют некоторые архитектурные перемены, для обеспечения большей безопасности, а также добавляет некоторые компоненты что позволит создавать веб-приложения более безопасные.

Сокращение возможности атак, главная задача из основных принципов разработки систем безопасности. Использую базу IIS 6.0, который использует блокировку, и перенося это на IIS 7.0 ставит по умолчанию меньше компонентов, и тем самым приумножает блокировку сервера. Двигаясь в этом же направлении и используя модульную природу сервера, для того чтобы уничтожать ненужные компоненты, возможно свести на нет любые атаки, и тем самым снизить опасность взлома сервера мошенниками.

Если компонент не используется, и он уязвим, не стоит выводить сервер из оборота, или сразу менять этот компонент. Это только приведет к еще больше опасности сервера.

Также, IIS 7.0 к базовым совершенствованиям по безопасности, прилагает еще несколько компонентов по защите, их можно тоже использовать для блокировки и открытия безопасных приложений. IIS всегда создавал твердую поддержку для защиты приложений при помощи проверки на достоверность. Сегодня в Integrated инфраструктуры ASP.NET, возможно использовать распространенные компоненты безопасности ASP.NET, к которым относятся управление членством, а также регистрацией входа в систему, проверка подлинности формы. Обычно это можно сделать за какие-то единицы минут и без необходимости написания кода.

Новый элемент авторизации URL, потомок элемента авторизации URL в ASP.NET, возможно использовать для настройки декларативных правил управления доступом, касательно приложения в целом. Использовать эти правила доступа можно для отказа в доступе или предоставления адресов URL. Авторизация URL без препятствий интегрируется с элементами управления ролями инфраструктуры и членством. Также она может с успехом использоваться с компонентами управления

ASP.NET для быстрого включения пользовательской системы защиты всех приложений. Новый элемент фильтрации запросов обеспечивает довольно мощные функции блокировки, которые отчасти были доступны в распространенном инструменте URLScan. Запросы фильтруются для обеспечения дополнительной блокировки узла за счет отклонения запросов, которые содержат подозрительные данные, а также для защиты уязвимых ресурсов.