アプリケーションが識別されるまでは該当のポリシーが適用されず、
上位のallowポリシーに該当して通信が通ってしまいます。
上位のポリシーにて、"service"を"application-default"に設定することで
該当のポート以外の通信が上位のポリシーに該当することを防ぐことが可能です。
"application-default"のポートは以下から確認可能です。
WebUIより、 [Objects] -> [Applications] -> 該当アプリケーション
"Standard Ports"をご確認下さい。