プロキシサーバがhttp通信の送信元、宛先IPをログ取りしているとのことですから、
調査する機器は プロキシサーバ
調査する内容は サイトZへの通信があったかどうか
と答えたのですが、これではいけないようです。
なぜ、プロキシサーバが答えの候補にないのでしょうか？

P13「プロキシサーバが中継するのはPCセグメントからインターネットだけである。」
との文言があります。

セキュリティインシデントが発生したのは、DMZにあるEサーバです。
故にEサーバの通信はプロキシサーバを通過しません。

pixさん、納得できました！ありがとうございます。