Palo Alto: FTP Server trotz Policy in der DMZ erreichbar

Frage:

FTP Server ist trotz Policy in der DMZ erreichbar.

Es gibt keine ALLOW Policy von UNTRUST zu DMZ.
Es gibt eine DENY Policy von UNTRUST zu DMZ.

Wenn der Server kontaktiert wird, wird der 3er-Handshake aufgebaut und es kommt der Prompt zur Eingabe des Benutzernamens:

C:\Users\XXX>ftp ftp.abcd.net
Connected to colo-ftp2.abcd.net.
220 (vsFTPd 2.0.6)
User (colo-ftp2.abcd.net:(none)): anonymous
Connection closed by remote host.
>>>>>>>>>>>>>>>>>>>>>
Connection closed after the login prompt.

Lösung/Hintergrund:

Die ersten 3 Pakete plus das erste danach werden für die App Erkennung genutzt. Nun ist es nicht so richtig schön …