確認したところ、1つの相関イベントに紐づけられる Correlated Event ですが、次のパラメータで 100 個に制限されています。

--------------------------------------- 

（server.defaults.properties の記載））

# In a rule's aggregation tab, you can enter a number for Number of Matches.

# The real-time rule will get triggered once the number of correlated events held in memory meets this aggregation criteria.

# Therefore, more correlated events are getting aggregated, more memory is used by a rule.

# We don't recommend customer to aggregate more than 100 events because it might lead to OOM (out of memory).

# To prevent OOM by a single rule for its excessive aggregation number, we introduce the two following properties to

# cap number of correlated events in which a rule allows to aggregate.

# In other words, the rule will get triggered by this max number instead of Number of Matches specified.

# When the rule is triggered by the max number, you will see audit events and these errors in ESM logs.

#

#     Exceeded max rule chain <rules.max.rulechain.size> for the rule <rule name>

# Aggregate only if these fields are identical

rules.max.rulechain.size=100

# Aggregate only if these fields are unique

rules.max.unique.valuechain.size=100

--------------------------------------- 

これらの値を変更し、500 個の Correlated Event との紐づけが可能となりましたが、

こちらに記載がありますように、OOM (out of memory)　となる可能性があるとのことで

変更される際は十分な検証をお勧めいたします。

また、変更される際は　server.defaults.properties　の該当の値を

server.properties　にコピーして値を変更されるようお願い致します。

または、ルールアクションの時間単位の発生間隔を短くされることをご検討されることをお勧めいたします

ESMのルールの動作がおかしいときにはサポートからESMのルール関連のキャッシュのクリアをしていただくようお願いすることがあります。

ご参考までに次の様な手順となります。

-----------------------------------------

ESM 7.5 or later

1. Login to OS as user 'arcsight'
2. Stop all ESM processes

service arcsight_services stop all

service arcsight_services status (make sure services are unavailable)

3. Clear the manager caches

   /opt/arcsight/manager/bin/arcsight clear_manager_caches

4. Start up all ESM processes

service arcsight_services start all

service arcsight_services status

ESM 7.x

1. Login to OS as user 'arcsight'
2. Stop all ESM processes

service arcsight_services stop all

service arcsight_services status (make sure services are unavailable)

3. Delete everything under (rm -rf *):

Delete everything under,not the folders themselves:

rm -rf /opt/arcsight/manager/rules/manager/classes/*

rm -rf /opt/arcsight/manager/rules/manager/checkpoint/*

rm -rf /opt/arcsight/manager/user/manager/datamonitors/checkpoints/*

rm -rf /opt/arcsight/manager/tmp/tuple/local/classes/*

4. Start up all ESM processes

service arcsight_services start all

service arcsight_services status

ESM 6.x

1. Login to OS as user 'arcsight'
2. Stop all ESM processes

service arcsight_services stop all

service arcsight_services status (make sure services are unavailable)

3. Delete everything under (rm -rf *):

Delete everything under,not the folders themselves:

rm -rf /opt/arcsight/manager/rules/classes/*

rm -rf /opt/arcsight/manager/rules/checkpoint/*

rm -rf /opt/arcsight/manager/user/manager/datamonitors/checkpoints/*

rm -rf /opt/arcsight/manager/tmp/tuple/local/classes/*

4. Start up all ESM processes

service arcsight_services start all

service arcsight_services status

-----------------------------------------

［時間単位］(On Time Unit)アクションについて、追加のご質問をいただきましたので
次の様なご説明用の図を作成してみました。

PDF

１．ルールの動作がおかしい
［時間単位］(On Time Unit)アクションの場合一致数を２以上にしていただく必要があります。

ArcSight Console User Guideに次のように記載されています。
---------------------------------------------------------------------------------------
ArcSight Console User Guide
www.microfocus.com/.../

Notes:
With On Time Unit (OTU), the minimum threshold value you must set is 2.
---------------------------------------------------------------------------------------

２．1分に1回のペースで相関イベントが作成されている

恐らく［時間単位］のトリガ条件がデフォルトのままなのではないかと推測いたします。
もしそうでしたら次のようにしてご変更いただけます。

----------------------------------------------------
時間単位[アクティブ]を選択
時間単位[アクティブ]を右クリックし”編集”を選択
トリガ条件：時間単位　発生間隔を５分にしていただく。
（デフォルトでは１分になっています）
----------------------------------------------------

３．ベースイベントが何も紐づいていないイベントが作成される

図の④の場合、5分間に２つのベースイベントのみの場合は
On First Threshold に２つのベースイベントが紐づき、
ベースイベントが紐づかないOn Time Unitが生成されています。

４．相関イベントの発生が必ずしも５分間隔でない

③と④の間のように5分以上空く場合など5分毎には作成されません。
また、④と⑤の間でベースイベントが5分以上経った場合には
直前の④のOn Time Unitと⑤のOn First Thresholdの発生間隔が
5分以内になることもあるかと思います。

５．５分間に１回しかベースイベントがない場合、発報しない

現在のルールの仕様（一致数：２）では、5分間で1回しかイベントがなかった場合、検知されません。

推奨としましては一致数”１”でアクションが”最初のイベント”のもう一つルールを作成されてはいかがでしょうか。
このルールが発報した場合、既存のルールと紐づけられるベースイベントが重複してしまいますが、
検知されないということはなくなると考えます。

例としては次の様な手順となります。
１． コンソールで既存のルールを適当なフォルダにドラッグ＆ドロップ
２． 「このリソースをコピーしますか？」で「はい」を選択
３． 既存のルール名の最後に「のコピー」が付いたルールが作成されます
４． 新しく作成されたルールを右クリックし「ルールの編集」を選択
５． 「調査/編集」で「アグリゲーション」タブの一致数を１にする
６． 「アクション」タブで「最初のイベント」のトリガを有効とする
７． また、「最初の閾値」および「時間単位」のトリガを無効にする
８． 「適用」または「OK」ボタンを押す
９． 新しく作成したルールを右クリックし「リアルタイムルールを使用」を選択