Eu instalei o Logstash para analisar arquivos do apache. Demorei bastante q para obter as configurações certas e sempre tentei em logs reais. Eu notei (como a documentação diz) que o logstash "lembra" onde estava em um arquivo. Agora minhas configurações estão OK e gostaria que o Logstash "esquecesse". Isso parece mais difícil do que eu. Eu já fiz o seguinte:

usava:start_position => "beginning"

excluiu a pasta "data" completa do elastissearch (e parou primeiro)

olhou para quais arquivos foram abertos pelo logstash comlsof -p PID e deletou tudo o que foi promissor (no meu caso/tmp/jffi*.tmp)

Ainda Logstash não esquece e analisar apenas arquivos "frescos" na pasta onde os logs são

Alguma ideia?