Michael
Гибко, делай, что хочешь. Кластер не кластер. Проблема во множестве конфигов и настроек. И их согласованности.
Как показывает моя практика - установить и первично настроить любую систему СИЕМ (в том числе и MP SIEM) это не самая сложная задача. Куда важнее, что после того, как от этого процесса отключается адекватный интегратор/вендор, КПД СИЕМ падает в разы сразу же и деградирует с течением времени.
И зачастую проблема не в продукте, а в "пользователях".