Как вариант. В global.asax в обработчике Application_BeginRequest, проверять попадает ли запрашиваемый документ в защищённую область, и если соединение не секьюрное, редиректить на тот-же URL, но через https. Полный URL можно получить из Request-а.

Правда это будет работать только с файлами, ассоциированными с ASP.NET: aspx, asmx. Для HTML и картинок, можно либо настроить фильтр в IIS, так чтобы эти запросы также шли через ASP.NET, лобо возвращать их через свой aspx.