FWログなら550通りで最初の接続時しか残らないの普通だね
むしろこの調べる目的にFWログだけ用いるのが謎

> 「ウェブサーバからパソコン向きにファイルを送信する」
間違ってる
その言い方に習うなら「パソコンがウェブサーバーからファイルを受信する」
ウェブサーバーが勝手にパソコンにデータを送信しているのではなく、パソコンが取りに行ってる
パソコンからウェブサーバーに要求するので当然「「パソコンからウェブサーバ向き」にトラフィックが発生する」
（トラフィックも厳密になにを指してるかでこの解釈も変わるが、なにも前提しないなら一切合切とみなすからACK時点で「「パソコンからウェブサーバ向き」にトラフィックが発生する」のは当然のこと）