Aplicação prática
Verifique serviço, regras carregadas e eventos reais antes de afirmar cobertura.
Limitações e cuidados
Regras excessivas geram carga; serviço ativo não significa política adequada.
Linux e infraestrutura
auditd
Daemon de auditoria do Linux que registra eventos selecionados por regras no subsistema de audit do kernel.