aureport命令有两个选项可以将显示的事件列表限制为成功事件列表和失败事件列表。 根据手册页：
--failed Only select failed events for processing in the reports. The default is both success and failed events. --success Only select successful events for processing in the reports. The default is both success and failed events.
这是什么意思？ 关于实际事件（例如，返回非零的系统调用）的失败/成功还是失败/成功应用于审计以及处理事件是否存在问题？
成功logging系统调用是成功还是失败。
相同的指南提供了审计事件的快速浏览， https: //access.redhat.com/documentation/en-US/Red_Hat_Enterprise_Linux/6/html/Security_Guide/sec-Understanding_Audit_Log_Files.html。
成功=否成功域logging在特定事件中logging的系统调用是成功还是失败。 在这种情况下，通话没有成功。
但是，其他事件也可以被视为失败，例如res字段failed事件（例如，USER_LOGIN或CRYPTO_KEY_USER）
reslogging触发审计事件的操作的结果。
您还可以通过运行了解这些事件是什么：
sudo aureport -i --failed -e
这会给你一个被覆盖的调用/事件types的感觉，那些（在我的系统上至less）不只是SYSCALL，而是其他事件（比如前面提到的USER_LOGIN）。