>[оверквотинг удален]
>>>бы и показать как это делается. Документацию по syslog-ng я читал
>>>и не раз.
>>
>>man syslog-ng.conf
>>секция фильтры
>>* match(regexp to match the contents of the message)
>
>Согласен - вы частично правы
>Поправлю вопрос - если не известны заранее количество и название вирт хостов
>можно осуществить ?

а это простите как? вы либо админ, либо в детском саду горшки убираете третьего не дано.
появляется вирт хост -> вносится фильтр + destination -> перезапускается syslog-ng

а иначе переписывайте syslog-ng либо скармливайте его вывод скрипту\приложению самописному который будет енто всё делать. больше никак.