Как в logstash добавить новое поле по условию?

Question

[atlas89]

Логи с сетевых устройств с помощью syslog передаюстя в Logstash.

input{
  beats {
        type => "filebeat_nginx_proxy_connect"
        port => 5044
  }
  syslog {
        type => "syslog"
        port => 5145
        host => "0.0.0.0"
 }
}

Дальше попадают в elastic и отображаются в kibana

Как видно из картинки отображается ip адрес устройства. У меня есть сопоставление ip адресов все устройств и их sysname. Как мне в документ добавить новое поле (например, sysname), которое будет отображать имя устройства. Пытался с помощью mutate (add_fields) и условий if, но очень много условий получается так как количество устройств около 2500 тысяч. Может мне необходимо написать свой фильтр для logstash. Но я не знаю как и где искать информацию. Прошу помощи..