Filtro de logstash: syslog_pri sempre padronizado para notar?

Question

Eu estou olhando através de alguns arquivos de logs syslog na minha pilha ELK e notei que todos os campos syslog_severity são 'aviso', quando eu posso verificar nos arquivos de log que eles não são 'aviso'. Parece que o Logstash é o padrão syslog_severity para perceber. Eu tenho isso na minha configuração de filtro logstash:

filter {
 if [type] == "syslog" {
    grok {
      match => { "message" => "<%{NONNEGINT:syslog_pri}>%{SYSLOGTIMESTAMP:syslog_timestamp} %{SYSLOGHOST:syslog_hostname} %{DATA:syslog_program}(?:\[%{POSINT:syslog_pid}\])?: %{GREEDYDATA:syslog_message}" }
      add_field => [ "received_at", "%{@timestamp}" ]
      add_field => [ "received_from", "%{host}" ]
    }

    syslog_pri { }

    date {
      match => [ "syslog_timestamp", "MMM  d HH:mm:ss", "MMM dd HH:mm:ss" ]
    }
  }
}

Eu olhei para a solução mencionada aqui mas não acho que se aplica no meu caso, se você olhar para o meu arquivo de configuração do filtro. Eu tentei a solução mencionada aqui e reiniciei meu serviço logstash com

sudo service logstash restart          

Eu também tentei reiniciar o resto dos serviços na minha pilha ELK, ainda recebendo aviso para todos os meus campos syslog_severity. Alguma idéia do que precisa ser alterado no filtro?

Minhas mensagens de log são deste formato:

<134>1 2015-01-01T11:12:23.180242-02:00 message