Коллеги, тоже сталкнулся с подобной проблемой
Задача была сделать отдельный инцидент при сработке "нового" правила корреляции(которое не срабатывало за последние две недели)
Было создано правило обогащение, и тс к этому правилу, правило записывает в список наименование и время сработавшего правила корреляции
Было создано правило корреляции, которое реагирует на другие срабатывающие правила корреляции и если такого нет в тс или время последней сработки больше 14 дней генерит дополнительное событие
Так вот средний лаг между сработкой первого правила(записи в тс) и прекращением генерации дополнительных событий 14 минут

Коллеги, комментарии будут какие-нибудь или тикет завести?)

Собирали, наверное, какой-нибудь журнал System винды или что-то прикладное, за время >1год. => куча новых "исторических" индексов => куча шардов.

Какой-то локальный баг, сейчас с аналогичной логикой работает >10 правил и всё с ними ок.

Это 20 или до 99?))

Вот правила