我编写了一个解析器来通过调度程序插件解析审计事件。对于 CentOS 8 或 RHEL 8，我的解析器无法解析审核事件，因为这些事件以不同的格式出现。它在事件结束时附加了一些额外的参数。
发现问题，问题出在 audit.conf 条目上，对于 centos8 或 rhel8，引入了一个新的配置log_format = ENRICHED。将 ENRICHED 转换为 RAW 将像以前一样提供事件，或者在使用扩充时需要更新解析器。
audit.conf 的手册页说 -
丰富选项将解析所有 uid， GID、系统调用、体系结构和套接字地址信息 在将事件写入磁盘之前。这有助于理解 在一个系统上创建但在另一个系统上报告/分析的事件 系统。