Не факт что это вообще было сканирование.
Когда броузер загружает страницу создается несколько TCP сессий каждая из которых грузит определенный блок информации (например картинки). Запрос от компьютера идет на 80 порт, прием информации идет на порт выбираемый броузером из диапазона от 1025 до 65535.
Файрвол считает сканированием операцию когда некий узел (хост, IP-адрес) пытается за короткий промежуток времени установить соеденения по нескольким портам. При быстром соеденении с инетом (выделеная линия, ADSL-связь) когда броузер отослал запрос, почти мгновенно начинается прием даных, начинают идти запросы на установку соеденения для передачи информации (например картинок). И такое действие файрвол может расценить как сканирование.
P.S. Извините если не сильно понятно, просто спешил потому как одновременно делаю несколько дел
Комбінований вигляд
