XSOAR イベントからインシデントへのパイプラインは、管理者向けドキュメントで明確に定義されています。取り込み # 分類 # 前処理 # インシデント作成 # プレイブック実行。システムは、受信したインシデントをドロップ、マージ、リンク、または変更する可能性のある前処理ロジックを評価する前に、インシデントの種類（または分類結果）を判断する必要があるため、分類は前処理ルールの前に実行する必要があります。
前処理ルールは、分類段階で作成されたフィールド（インシデントの種類、正規化された値、抽出されたフィールドなど）を使用して、インシデントを抑制するか、変更するか、既存のインシデントに関連付けるかを決定します。分類が完了していない場合、ルールエンジンは必要な構造化データを取得できません。
生のイベント フィールドをインシデント フィールドに変換するマッピングは、分類の後、インシデントの作成中に行われます。つまり、マッピングもプレイブックの実行に先行しますが、事前プロセス評価には先行しません。
したがって、オプションD（分類）が唯一の正しい前提条件です。前処理ルールは取り込み時に実行できません（オプションC）。プレイブックの実行（オプションB）はインシデントの作成後に行われます。マッピング（オプションA）は前処理ルールの前提条件ではありません。

参考: https://docs.paloaltonetworks.com/cortex/cortex-xsoar/6-1/cortex-xsoar-admin/dashboards/share- a-dashboard.html