是否有一个日志文件，其中包含用户在IIS 7中所做的操作，如closures应用程序，清理应用程序池，重新启动服务器？
那么你需要启用IISconfiguration审计。
1）导航到Internet信息服务（IIS）安装的目标服务器。
2）启动事件查看器（单击开始/运行键入eventvwr.msc并按Enter键）
3）导航到以下节点：事件查看器/应用程序和服务日志/ Microsoft / Windows / IIS-configuration
4）右键点击操作日志并select属性。
5）打开启用日志checkbox，指定最大日志大小选项为299968 Kb，select覆盖事件为所需选项，然后单击确定。
就我个人而言，我也会使用Netwrix Auditor来使信息可读，而不是疯狂地阅读所有这些事件。 这里的附加信息https://www.netwrix.com/kb/1720