如何解釋關閉期間記錄的審核消息？

我的機器 (RHEL 7.4) 在關機期間掛起並顯示以下審核消息：

type=1300 audit(1503569606.186:27573): arch=c000003e syscall=2 sucess=no exit=-13 a0=7ffee8a3db90 a1=2 a2=64 a3=16 items=1 ppid=1 pid=19786 auid=4294967295 uid=0 gid=0 euid=0 suid=0 fsuid=0 egid=0 sgid=0 fsgid=0 tty=(none) ses=4294967295 comm="mdmon" exe="/usr/sbin/mdmon" subj=system_u:system_r:init_t:s0 key="CheckFileAccess"
type=1307 audit(1503569606.186:27573): cwd="/"
type=1302 audit(1503569606.186:27573): item=0 name="/sys/block/md126/md/sync_completed" inode=33831 dev=00:11 mode=0100444 ouid=0 ogid=0 rdev=00:00 obj=system_u:object_r:sysfs_t:s0 objtype=NORMAL
type=1327 audit(1503569606.186:27573): proctitle=40646D6F6E002D2D74616B656F766572006D64313237

通常我會使用

ausearch --interpret --file /home/user1/audit_shutdown.log

解釋消息，但它只是輸出

<no matches>

正常的消息如下所示：

type=SYSCALL msg=audit(1364481363.243:24287): arch=c000003e syscall=2 success=no exit=-13 a0=7fffd19c5592 a1=0 a2=7fffd19c4b50 a3=a items=1 ppid=2686 pid=3538 auid=1000 uid=1000 gid=1000 euid=1000 suid=1000 fsuid=1000 egid=1000 sgid=1000 fsgid=1000 tty=pts0 ses=1 comm="cat" exe="/bin/cat" subj=unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023 key="sshd_config"
type=CWD msg=audit(1364481363.243:24287):  cwd="/home/shadowman"
type=PATH msg=audit(1364481363.243:24287): item=0 name="/etc/ssh/sshd_config" inode=409248 dev=fd:00 mode=0100600 ouid=0 ogid=0 rdev=00:00 obj=system_u:object_r:etc_t:s0
type=PROCTITLE msg=audit(1364481363.243:24287) : proctitle=636174002F6574632F7373682F737368645F636F6E666967

我猜 1300 = SYSCALL 等等。但是我怎麼確定呢？

我使用了錯誤的論據。

–file 搜尋文件。

–input 使用文件作為輸入。

所以

ausearch --interpret -input /home/user1/audit_shutdown.log

正確解釋文件

引用自：https://unix.stackexchange.com/questions/388771