Você também verificou todos os outros arquivos dentro de /etc/rsyslog.d/
?
/var/log
é a pasta de log padrão para muitos outros aplicativos que não dependem necessariamente do rsyslog. O Apache, por exemplo, não usa rsyslog, então você terá que alterar o arquivo de configuração de cada aplicativo que grava em /var/log
.
lsof +D /var/log/
fornecerá todos os processos que possuem arquivos abertos dentro dessa pasta. Por favor, note que isso só mostrará processos que possuem o arquivo OPEN. Alguns aplicativos não mantêm o arquivo aberto o tempo todo e só gravam nos logs em lotes.
Outra opção seria criar sua nova pasta /var/tmp_log/
e criar um link simbólico em /var/log
apontando para ela. Isso funcionaria?