FW2のルールで問い合わせ用pcから全ての宛先の全てのサービスの接続が拒否されているのに
問い合わせ用PCからC&Cサーバに向けてHTTPSと思われるセッションが確立していた
となっているのはなぜでしょうか？

P4 表3 提供された情報（抜粋）
送信元IPアドレス:aaaa.bbb.ccc.ddd
とあります。
[aaaa.bbb.ccc.ddd]はプロキシサーバのIPアドレスです。

この時のアクセス経路は
[問い合わせPC]->[FW2(項番2:許可)]->[FW1(項番7:許可)]->[プロキシサーバ]->
  [FW1(項番8:許可)]->[インターネット(C&Cサーバ)]
です。
C&CサーバへHTTPS通信のセッションが確立していたのは、問合せPCが直接ではなく、
プロキシサーバ経由でアクセスしていたからです。

??
プロキシサーバで中継されるのはわかっているのですが、、
FW2のルールで問い合わせ用pcから全ての宛先の全てのサービスの接続が拒否されているので問い合わせ用pcからプロキシサーバへもFW2で拒否されるから通信できないのではないですか？

P3 表1 FW1のルール
内部IP 注1)「N社で使用している全てのプライベートIPアドレスを示す。」
とあります。この注1はFW1、FW2共通と読み取れます。
そのため、問合せPCも内部IPに含まれると読み取れます。

P4 表2 FWのルール
項番2
  送信元：内部IP
  宛先：プロキシサーバ
  サービス：代替HTTP
  動作：許可
  ログ取得：する
このルールで内部IP（問い合わせPC含む）からプロキシサーバの通信が許可されます。

又、P4 表1 FW2のルール
注記「項番が小さいルールから順に、最初に合致したルールが適用される。」
とあります。
そのため、「問合せPC->プロキシサーバ」の通信は項番2の許可ルールが適用され、
その時点でFWのルールの評価は終了します。項番6の拒否ルールは適用されません。

ありがとうございます。
一応理解できました。

ただ、そんなやらしい書き方あります？、、、、
問い合わせPCのFWルールはIPAによる引っかけのためだけの記載と思えばいいですか？

すみません。特にいやらしいとは思いませんでした。

一般的にFWやACLやパケットフィルタリングは記述ルールとして
・ファーストマッチ
  設定を上から検査し、一番最初にマッチしたものが適用される。
・ラストマッチ
  設定を上から検査し、一番最後にマッチしたものが適用される。
の2種類があります。
これらは製品によって異なるので、対象となるものがどちらなのかを区別することは
重要です。
特に大手のクラウドのセキュリティ設定はこれらが入り乱れるので、苦労することが
多いです。

ファーストマッチパーンの設定の基本として、
上に「特化：個別の細かい設定」
下に「汎化：全体にマッチする大きな設定（上の特化をすり抜けたものを補足する）」
というのが典型的な設定になると思われます。
この「特化-汎化」パターンについて押さえておけば、FWのルールを見たときに
イメージしやすいと思われます。

なるほど！
ありがとうございます。
今後FW見るときは参考にさせて頂きます！