Pre Loginで許可されている宛先に対する通信にセキュリティ機能はCatoのデフォルトルールは適用されます。
しかし、テナント上で定義しているポリシーは適用されることはありません。

Pre Loginでは認証される前に、Catoのトンネルを利用して許可されている宛先への通信を行います。
そのため、認証後に初めて適用されるルールは通信に適用されず、意図したセキュリティポリシーで制御することはできません。