auditd: Ghi lại Ai Làm Gì tại ranh giới syscall

auditctl nạp rule → syscall khớp → SYSCALL/PATH/CWD cùng event id → auditd ghi log