Se um arquivo de especificação de RPM marcar o arquivo como uma configuração, ele criará um backup com a extensão .rpmsave ou deixará o arquivo no disco sozinho e gravará o arquivo do pacote como nome do arquivo.rpmnew .
No seu caso, se você não tiver o arquivo filename.rpmsave no mesmo caminho, o RPM não o marca como uma configuração. Você pode verificar isso com rpm -qc logstash . Talvez isso seja por design, mas eu consideraria arquivar um bug no fluxo de dados.
Para mais informações, consulte esta página sobre o comportamento resultante sob várias condições.