Você também verificou todos os outros arquivos dentro de /etc/rsyslog.d/ ?
/var/log é a pasta de log padrão para muitos outros aplicativos que não dependem necessariamente do rsyslog. O Apache, por exemplo, não usa rsyslog, então você terá que alterar o arquivo de configuração de cada aplicativo que grava em /var/log .
lsof +D /var/log/ fornecerá todos os processos que possuem arquivos abertos dentro dessa pasta. Por favor, note que isso só mostrará processos que possuem o arquivo OPEN. Alguns aplicativos não mantêm o arquivo aberto o tempo todo e só gravam nos logs em lotes.
Outra opção seria criar sua nova pasta /var/tmp_log/ e criar um link simbólico em /var/log apontando para ela. Isso funcionaria?