Фильтр Logstash для преобразования $epoch.$microsec в $epoch_millis

В вашем конкретном случае вам действительно может сойти с рук превращение проблемы в проблему манипулирования строками, но вы также можете использовать фильтр ruby:

filter {
  ruby {
    # do some calculation
    code => "event['ts'] = (1000 * event['ts'].to_f).round"
  }
}

Вот что в итоге сработало.

mutate {
        convert => { 
            "ts" => "string"
        }

        gsub => [
            "ts", "\.", "",
            "ts", "\d{3}$", ""
        ]
}

```