был некорректен - он не помер, просто при поиске по логам, где, к примеру вываливается в реалтайме огромный флоу от nexus 7k, 2 nexus 5k и пары двухтысячников как экстендеры, поверх которых еще лог кластера asa 5585x, то тупит он настолько откровенно, что... грустно, в общем. ищешь, к примеру, почему кластер pve рассыпался, поиск по адресам вбиваешь, а пока оно парсит - можно кофе пойти сделать. спустя 10 минут, когда отобразит, узнаешь, что кто-то мультикаст на нексусе выключил и надо кластер на udp unicast переводить, от греха, а то corosync в панике.
про построение скриптов провижининга с учетом роста нагрузок, количества коннектов, времени суток и содержимого записей в логах я умолчу. в случае с ELK энто все ручками пилить надо.