Por que o filtro de múltiplas linhas do logstash não está correspondendo aos logs?

Question

Estou enviando logs para logstash usando o castor. Esses logs são multilinhas por natureza, portanto estou usando o filtro de várias linhas, mas de alguma forma o filtro não pode corresponder ao log. Não há erros na saída do logstash. Aqui está o que eu vejo no logstash:

{"@source":"udp://10.238.161.213:36655/","@tags":[],"@fields":{},"@timestamp":"2013-09-23T16:37:56.653Z","@source_host":"10.238.161.213","@source_path":"/","@message":"{\"@source\": \"file://app1.example.org/ebs/app.log\", \"@source_host\": \"app1.example.org\", \"@message\": \"        This is line3\", \"@tags\": [], \"@fields\": {}, \"@timestamp\": \"2013-09-23T16:38:18.150822Z\", \"@source_path\": \"/ebs/app.log\", \"@type\": \"file\"}","@type":"app"}

Linha de registro de amostra:

This is a log line
    This is line2
    This is line3

Logstash conf:

input {
  udp {
    type => "app"
    port => 9996
  }
}
filter {
  multiline {
    type => "app"
    pattern => "^\s"
    what => "previous"
  }
}
output {
  elasticsearch { host => "127.0.0.1" }
}

O Beaver está sendo executado no host do aplicativo remoto e é chamado como:

/usr/bin/python /usr/bin/beaver -D -P /var/lock/beaver.pid -c /etc/beaver/conf -t udp -p /ebs/

e / etc / beaver se parecem com:

[beaver]
udp_host: logstash.example.org
udp_port: 9996

Alguma ideia de por que o filtro "Multi-Multi" não está correspondendo aos registros?