query 1(<Аргументы запроса>) from <Название табличного списка> {
    <Условие запроса>
}
query 2(<Аргументы запроса>) from <Название табличного списка> {
    <Условие запроса>
}

При валидации мне сообщается об ошибке:
Compilation ended with error: 'Error: Unknown builtin exec_query (used at line 4 col 12)'

Он ругается на 2й query

При валидации корреляционного правила выходит ошибка:
Found undeclared query usage. Сам запрос обозначен в блоке query. В чем причина? Его надо еще раз объявить?

покажите вызовы exec_query

event A:
   key:
       event_src.host
   filter {
      exec_query ( "Zap_p", [$object])!=null
        }

и эти объявления (можно без внутренностей)

а второй?

event B:
   key:
       event_src.host
   filter {
           object.name == "NCR"
          }

и где здесь exec_query?

Здесь конкретное значение поля события. Зачем мне обращаться к таблице, если нужно сравнивать с конкретным значением события

проблемный код где?

Compilation ended with error: 'Error in script unknown_script: ERROR: FILE:[] RULE:[]
Found undeclared query usage : Zap_p'

это работать не будет, потому что переменные в фильтре не определены.

определения запросов as is скиньте

с вашим уровнем обфускации вам помочь крайне затруднительно

На всех ресурсах рекомендую обращаться сюда. Куда тогда еще можно написать что бы объяснили?

Можно просто выложить полный текст корреляции

query Zap_u($object) from U {
    object == $object
    }
query Zap_m($object) from M {
    object == $object
    }

event A:
   key:
       event_src.host
   filter {
      exec_query ( "Zap_u", [$object])!=null
        }

event B:
   key:
       event_src.host
   filter {
           object.name == "NCR"
          }


rule Error:(A -> B) within 1m
on A {
   $event_src.host = event_src.host
}
on B {
   $event_src.host = event_src.host
}


emit {
   $correlation_name = "Predskazano_navodnenie"
   $correlation_type = "incident"

   $category.generic = "Information Management"
   $category.high = "Information Leak"
   $category.low = "Critical Information"

   $id = "Predskazano_navodnenie"
   $importance = "high"

object-у не нужна $. != null надо убрать - это условие будет всегда верно