Content-ID™は、リアルタイムの脅威防御エンジンと包括的なURLデータベース、およびアプリケーション識別要素を組み合わせることで、不正なデータやファイルの転送を制限し、広範囲にわたるエクスプロイト、マルウェア、危険なウェブ閲覧、標的型攻撃、未知の脅威を検出してブロックします。
https://www.paloaltonetworks.com/content/dam/pan/en_US/assets/pdf/tech-briefs/techbrief-content-id.pdf

ファイアウォールを通過するトラフィックをログに記録するためのベストプラクティスは、セッション終了時のみログを有効にすることです。
このオプションを使用すると、ファイアウォールはセッション終了時にのみログエントリを生成するため、ファイアウォールとログストレージへの負荷が軽減されます。ログエントリには、送信元および宛先IPアドレス、ポート、ゾーン、アプリケーション、ユーザー、バイト数、パケット数、セッションの継続時間などの情報が含まれます。セッション終了時のログオプションでは、最終的なアプリケーションとユーザー、合計バイト数とパケット数、セッション終了理由1など、セッションに関するより正確な情報も提供されます。セッション終了時のみのログを有効にするには、次の手順を実行する必要があります。
ログに記録したいトラフィックに一致するセキュリティポリシールールを作成または変更します。
ポリシールールの「アクション」タブを選択し、「セッション終了時にログを記録する」オプションをオンにします。
変更内容をファイアウォールまたはPanoramaと管理対象ファイアウォールにコミットします。
参考資料: ログの表示と管理、セッション終了時のログ、認定資格 - Palo Alto Networks、[Palo Alto Networks Certified Network Security Administrator (PAN-OS 10.0)] または [Palo Alto Networks Certified Network Security Administrator (PAN-OS 10.0)]。

説明／参考資料：
参照：
https://docs.paloaltonetworks.com/pan-os/9-0/pan-os-web-interface-help/policies/policies-security/buildingblocks-in-a-security-policy-rule.html