Logstash: Enriqueça o evento do arquivo de log com os dados do arquivo estático csv

Resumo: use um filtro no logstash que leia um valor do campo de evento, procure esse valor no arquivo externo (por exemplo, csv) e recupere o valor do arquivo externo correspondente. Use o valor do arquivo externo para adicionar como um campo extra no evento.

Mais informações: Eu tenho um arquivo de log com eventos. Os eventos são parecidos com:

{"@timestamp":"2014-06-18T11:52:45.370636+02:00","location":{"MainId":3,"SubId":"5"},"EndRequest":{"Duration":{"Main":0,"Page":6720}}}

Eu tenho um arquivo csv estático como:

1,left
2,right
3,top

Quando um evento é processado no logstash, desejo poder usar um filtro que verifique o valor de MainId (no exemplo event = 3) e encontre esse valor no arquivo csv. Se encontrado, o evento deve receber uma tag: "top".

É uma maneira semelhante ao filtro "GeoIP". O evento possui um valor de campo, corresponde ao valor em um "banco de dados" e retorna valores que podem ser adicionados ao evento.

Não consegui encontrar um filtro atual que pudesse processar acima. Preciso fazer um filtro personalizado? Nesse caso, alguém pode dar uma dica de como abordar isso?