https://live.paloaltonetworks.com/t5/blogs/what-are-applications-and-services/ba-p/342508# パロアルトネットワークファイアウォール上のサービスは、ポートが開いているか閉じられている TCP または UDP ポートですアプリケーションはレイヤー 7 検査に入り、どのアプリケーションがデータ フロー内でアクティブであるかを確認し、それに「通常の」動作を強制します (DNS クエリ)。
https://live.paloaltonetworks.com/t5/blogs/what-are-applications-and-services/ba-p/342508# 概念 1 パロアルトネットワークファイアウォール上のサービスは、TCP または UDP ポートです。従来のファイアウォールまたはアクセス リストで定義できます。どのポートが開いているか閉じているかを定義するだけであり、レイヤ 4 以降は考慮されません。
コンセプト2
パロアルトネットワークスの次世代ファイアウォールを非常に強力にするのはアプリケーションです。データ フロー内でどのアプリケーションがアクティブであるかを確認するためにレイヤー 7 検査が行われ、そのアプリケーションに「通常の」動作が強制されます (たとえば、突然 SQL クエリを送信する DNS として識別されたセッションは異常であるため、ブロックされます)。

署名付きのカスタム アプリケーションを作成してセキュリティ ポリシーに添付するか、カスタム アプリケーションを作成してアプリケーション オーバーライド ポリシーを定義します。カスタム アプリケーションを使用すると、内部アプリケーションの定義 (その特性、カテゴリ、サブ) をカスタマイズできます。カテゴリ、リスク、ポート、タイムアウト - ネットワーク上の未確認トラフィックの範囲を最小限に抑えるために、詳細なポリシー制御を実行します。カスタム アプリケーションを作成すると、ACC およびトラフィック ログでアプリケーションを正確に識別できるようになり、ネットワーク上のアプリケーションの監査/レポートに役立ちます。カスタム アプリケーションの場合、アプリケーションを一意に識別する署名とパターンを指定し、それをアプリケーションを許可または拒否するセキュリティ ポリシーに添付できます。
あるいは、ファイアウォールで高速パス (レイヤー 7 検査に App-ID を使用する代わりにレイヤー 4 検査) を使用してカスタム アプリケーションを処理する場合は、アプリケーション オーバーライド ポリシー ルールでカスタム アプリケーションを参照できます。カスタム アプリケーションによるアプリケーション オーバーライドにより、レイヤー 7 検査である App-ID エンジンによるセッションの処理が妨げられます。代わりに、ファイアウォールがレイヤー 4 で通常のステートフル検査ファイアウォールとしてセッションを処理するように強制されるため、アプリケーションの処理時間が節約されます。
たとえば、ホスト ヘッダー www.mywebsite.com でトリガーされるカスタム アプリケーションを構築する場合、パケットは最初に Web ブラウジングとして識別され、次にカスタム アプリケーション (親アプリケーションが Web ブラウジング) として照合されます。親アプリケーションは Web ブラウジングであるため、カスタム アプリケーションはレイヤー 7 で検査され、コンテンツと脆弱性がスキャンされます。
アプリケーション オーバーライドを定義すると、ファイアウォールはレイヤー 4 での処理を停止します。ログ内で識別しやすいように、カスタム アプリケーション名がセッションに割り当てられ、トラフィックの脅威はスキャンされません。
https://docs.paloaltonetworks.com/pan-os/10-0/pan-os-admin/app-id/manage-custom-or-unknown-applications.html#id74b58a78-164f-4dc5-aa4e-31ce62f2af0d

説明
レポートの生成にもかなりのリソースが消費される可能性があり、一部の事前定義レポートは組織にとって役に立たないか、カスタム レポートに置き換えられている場合があります。これらの事前定義レポートは、[デバイス] > [セットアップ] > [ログとレポートの設定] から無効にすることができます。
https://knowledgebase.paloaltonetworks.com/KCSArticleDetail?id=kA10g000000ClSvCAK