Почему системный журнал создает user.log вместо этого, используя syslog.log?

Я испытал что-то немного странное для меня. У меня есть filebeat, отслеживающий мой rsyslog (syslog.log) файл и отправка его в мой logstash.

Я заметил, что после перезапуска filebeat, где работает syslog, syslogs создает новый файл user.log под /var/log/user.log где моя регистрация собирается. Тем не менее, filebeat ожидает, что syslog.log это тот, который обновлен, так как этот файл не обновляется, ничто не отправляется filebeat к моему logstash...

Итак, мой вопрос заключается в том, почему демон rsyslog создает этот другой файл user.log?

Любая подсказка приветствуется!

Заранее спасибо!

С уважением