AUSEARCH-EXPRESSION(5)            Linux Audit           AUSEARCH-EXPRESSION(5)

<?><?><?> (NAME)
       ausearch-expression - <?><?><?><?> <?><?><?><?><?><?><?><?>
       <?><?><?><?><?><?> <?><?><?><?><?><?><?>


<?><?><?><?> <?><?><?> (OVERVIEW)
       <?><?><?> <?><?><?><?> <?><?><?><?><?><?> <?><?><?><?>
       <<<?><?><?><?><?><?><?><?><?> ausearch>> <?><?> <?><?><?>
       <?><?><?><?><?><?>.  <?><?><?><?><?> <?> <?><?><?><?><?><?><?>
       <?><?><?> <?><?><?><?><?><?><?><?> <?><?><?><?> libauparse
       <?><?><?><?><?> <?><?><?><?><?><?> <?> <?><?><?><?>
       <?><?><?><?><?><?><?><?><?><?><?> <?><?> <?><?> <?><?><?>
       <?><?><?><?><?><?><?><?> <?><?><?><?><?><?><?> <?><?><?><?><?><?><?>
       <?><?><?><?><?> <?><?><?>.


<?><?><?><?><?><?> <?><?><?><?><?><?><?> (LEXICAL STRUCTURE)
       <?><?><?><?><?><?><?><?><?> <?><?><?><?> (<?><?><?><?><?><?><?><?><?>
       <?><?><?><?><?><?> <?><?> <?> <?><?> <?><?><?><?> <?><?> <?><?> ASCII)
       <?><?><?><?> <?><?><?><?><?><?><?> <?><?><?><?><?><?> <?><?><?><?><?>
       <?><?><?><?><?><?><?>.  <?><?><?><?><?><?><?><?> <?><?><?>
       <?><?><?><?><?><?><?> <?><?><?><?><?><?><?>:


   <?><?><?><?><?> <?><?><?><?><?><?> (Punctuation)
       ( ) \


   <?><?><?><?><?><?><?><?> <?><?><?><?><?> (Logical operators)
       ! && ||


   <?><?><?><?><?><?><?><?> <?><?><?><?><?><?><?><?><?> (Comparison operators)
       < <= == > >= !== i= i!= r= r!=


   <?><?><?><?><?><?><?><?> <?><?><?><?> <?><?><?><?><?><?><?> (Unquoted
       strings)
       <?><?> <?><?><?><?><?><?> <?><?><?><?><?><?><?> <?><?> <?><?><?><?>
       ASCII<?> <?><?><?><?><?><?> <?> <?><?><?><?> _ <?><?><?><?><?><?><?>.


   <?><?><?><?><?><?><?><?> <?><?><?><?> <?><?><?><?><?><?><?> (Quoted
       strings)
       <?><?><?><?><?><?><?><?><?> <?><?> <?><?><?><?><?><?><?><?> <?><?>
       <?><?><?><?> <?><?><?><?><?> <?><?><?><?><?><?><?> " <?><?><?><?><?>
       <?><?><?><?><?><?><?>.  <?><?><?><?><?> \ <?><?> <?><?><?><?><?>
       <?><?><?><?> <?><?> <?><?><?><?> <?><?><?><?><?><?>.  <?><?><?><?>
       <?><?><?><?><?><?><?><?><?> <?><?><?><?> <?><?><?><?><?><?><?><?><?> \\
       <?> \" <?><?><?><?><?>.  <?><?><?><?><?> <?><?><?><?>
       <?><?><?><?><?><?><?><?><?> <?><?><?><?> <?><?><?><?><?><?><?><?><?><?>
       <?><?><?>.


   <?><?><?><?><?><?> <?><?><?><?><?><?><?> (Regexps)
       <?><?><?><?><?><?><?><?><?> <?><?> <?><?><?><?><?><?><?><?> <?><?>
       <?><?><?><?> <?><?><?><?><?><?><?><?><?> / <?><?><?><?><?>
       <?><?><?><?><?><?><?>.  <?><?><?><?><?> \ <?><?> <?><?><?><?><?>
       <?><?><?><?> <?><?> <?><?><?><?> <?><?><?><?><?><?>.  <?><?><?><?>
       <?><?><?><?><?><?><?><?><?> <?><?><?><?> <?><?><?><?><?><?><?><?><?> \\
       <?> \/ <?><?><?><?><?>.  <?><?><?><?><?> <?><?><?><?>
       <?><?><?><?><?><?><?><?><?> <?><?><?><?> <?><?><?><?><?><?><?><?><?><?>
       <?><?><?>.


       <?><?> <?><?> <?><?> <?><?> <?><?><?><?> <?><?><?><?>
       <?><?><?><?><?><?><?> <?><?><?><?><?> <?><?><?><?><?> <?><?>
       <?><?><?><?> <?><?><?><?> <?><?><?><?><?><?><?> <?><?><?>
       <?><?><?><?><?> <?><?><?> <?> <?><?><?><?><?><?>.
       <?><?><?><?><?><?><?><?> <?><?><?><?><?><?><?> <?><?><?><?> <?><?>
       <?><?><?><?><?><?><?> <?><?> <?><?><?><?><?><?><?> <?><?>
       <?><?><?><?><?><?><?><?> <?><?><?><?> <?><?><?><?><?><?><?>
       <?><?><?><?> <?><?><?><?> <?> <?><?><?><?><?><?> <?><?><?><?> <?><?>
       <?><?><?><?><?><?><?> <?><?> <?><?><?><?><?><?><?> <?><?>
       <?><?><?><?><?><?><?><?> <?><?><?><?> <?><?><?><?><?><?><?>
       <?><?><?><?><?> <?><?><?><?>.


<?><?><?> <?><?><?><?><?><?> (EXPRESSION SYNTAX)
       <?><?><?><?><?> <?><?><?><?><?> <?><?><?> <?><?>
       <?><?><?><?><?><?><?><?> <?><?><?> <?><?> <?><?><?><?>:

              field comparison-operator value

              \regexp string-or-regexp

       field <?><?> <?><?> <?><?><?><?> <?><?><?><?> <?><?> <?><?><?><?><?>
       <?><?><?><?> <?><?> <?><?> <?><?><?> <?><?> <?><?> <?><?><?><?><?>
       <?><?><?><?><?><?><?> <?><?><?><?> <?><?><?><?> <?><?><?><?><?><?><?>
       <?><?> <?><?><?><?><?> <?><?><?><?> \ <?><?> <?><?><?><?><?> <?><?>
       <?><?><?><?> <?><?><?><?> <?><?> <?><?> <?><?><?><?> <?><?><?><?><?>
       <?><?> <?><?><?> <?><?><?><?><?><?><?><?> <?><?> <?><?><?><?><?>
       <?><?><?><?><?><?> (<?><?><?><?><?><?><?> <?><?><?><?><?> <?><?>
       <?><?><?> <?><?><?><?> <?><?><?><?><?> <?><?><?><?><?><?><?>).

       field <?><?> <?><?><?><?> <?><?><?>.  operator <?><?><?>
       <?><?><?><?><?><?><?><?><?> <?><?> <?><?> <?><?><?><?> <?><?><?><?><?>
       <?><?><?> <?><?><?><?> <?><?><?><?><?><?>:


       r= r!= <?><?><?><?> <?><?><?> (<<raw>>) <?><?><?><?><?> <?><?> field
              <?><?> <?><?><?><?><?><?> <?><?><?><?><?> <?> <?><?> <?><?>
              <?><?> value <?><?><?><?><?><?> <?><?><?><?><?><?>.
              <?><?><?><?> <?><?><?><?><?><?><?> <?><?><?><?><?> <?><?>
              <?><?><?><?><?><?><?><?> <?><?><?><?><?><?><?><?> <?><?><?><?>
              <?><?><?> <?><?><?><?><?><?> <?><?><?><?> <?><?><?><?>
              <?><?><?><?><?><?><?><?><?> <?><?> <?><?><?><?><?>
              <?><?><?><?><?><?><?> <?><?><?> (<?><?> <?><?><?> <?><?><?><?>
              <?><?><?><?><?><?><?><?><?><?> <?><?><?><?><?><?><?><?><?> <?>
              <?><?><?><?><?><?><?> <?><?><?><?><?><?><?><?><?>
              <?><?><?><?><?><?><?> <?><?><?>)<?> <?><?><?><?><?><?><?><?><?>
              <?><?><?><?><?><?><?><?><?> <?><?><?><?> <?><?><?> <?><?> <?><?>
              <?><?><?><?><?><?><?> <?><?> auparse_get_field_str(3)
              <?><?><?><?><?><?><?>.  <?><?> <?><?><?><?> <?><?><?><?><?>
              <?><?><?><?> <?><?><?> <?><?> <?><?><?><?> <?><?><?>
              <?><?><?><?><?> <?><?><?>.  <?><?><?> field <?><?><?><?>
              <?><?><?><?><?><?> <?><?><?><?> <?><?> <?><?> <?><?><?><?>
              <?><?><?> <?><?><?><?><?> <?><?><?><?><?> <?><?><?><?><?>
              <?><?><?><?><?> <?><?><?><?><?><?> <?><?><?><?><?> false
              <?><?><?><?><?> <?><?><?> (<?><?><?><?> <?><?> <?><?><?>
              <?><?><?><?><?> <?><?><?><?><?>).


       i= i!= <?><?><?><?> <?><?><?><?><?><?><?><?> (<<interpreted>>)
              <?><?><?><?><?> <?><?> field <?><?> <?><?><?><?><?><?>
              <?><?><?><?><?> <?> <?><?> <?><?> <?><?> value
              <?><?><?><?><?><?> <?><?><?><?><?><?>.  <?><?><?><?>
              <?><?><?><?><?><?><?> <?><?><?><?><?> <?><?>
              <?><?><?><?><?><?><?><?> <?><?><?><?><?><?><?><?> <?><?><?><?>
              <?><?><?><?><?><?><?><?> <?><?> <?><?><?><?><?>
              <?><?><?><?><?><?><?><?><?><?><?> <?><?><?><?> <?><?><?><?><?>
              <?><?> <?><?><?><?><?> <?><?><?><?> <?><?><?><?>
              <?><?><?><?><?><?><?><?><?> <?><?><?><?><?><?><?><?><?>
              <?><?><?><?> <?><?><?><?><?><?><?><?> <?><?> <?><?>
              <?><?><?><?><?><?><?> <?><?> auparse_interpret_field(3)
              <?><?><?><?><?><?><?>.  <?><?> <?><?><?><?> <?><?><?><?><?>
              <?><?><?><?> <?><?><?> <?><?> <?><?><?><?>
              <?><?><?><?><?><?><?><?> <?><?><?><?><?> <?><?><?>.  <?><?><?>
              field <?><?><?><?> <?><?><?><?><?><?> <?><?><?><?> <?><?> <?><?>
              <?><?><?><?> <?><?><?><?><?><?><?><?> <?><?><?><?><?>
              <?><?><?><?><?> <?><?><?><?><?> <?><?><?><?><?>
              <?><?><?><?><?><?> <?><?><?><?><?> false <?><?><?><?><?>
              <?><?><?> (<?><?><?><?> <?><?> <?><?><?> <?><?><?><?><?>
              <?><?><?><?><?>).


       < <= == > >= !==
              <?><?><?><?><?> (<<value>>) <?><?><?><?><?> <?><?> field <?><?>
              <?><?><?><?><?><?><?> <?><?><?><?> <?> <?><?> <?><?> <?><?>
              value <?><?><?><?><?><?> <?><?><?><?><?><?>.  <?><?>
              <<<?><?><?><?><?>>> <?><?><?><?> <?><?><?> <?><?><?><?> <?><?>
              <?><?><?><?> <?><?> <?><?><?><?> <?><?><?><?><?> <?><?><?><?><?>
              <?><?><?> <?><?><?><?><?> <?><?><?> <?><?> <?><?><?>
              <?><?><?><?> <?><?><?> <?><?><?><?><?><?> <?><?><?><?> <?><?><?>
              <?><?><?><?> <?><?><?><?><?> <?><?><?><?><?><?><?>
              <?><?><?><?><?> <?><?><?><?> <?><?><?>.  <?><?><?><?><?><?>
              <?><?><?><?><?> value <?><?><?><?> <?><?><?><?><?><?> <?><?>
              <?><?> <?><?><?><?><?> field <?><?><?><?> <?><?> field <?><?><?>
              <?><?><?>.  <?><?><?> field <?><?><?><?> <?><?><?><?><?><?>
              <?><?><?><?><?> <?><?><?><?><?> <?><?><?><?><?><?>
              <?><?><?><?><?> false <?><?><?><?><?> <?><?><?> (<?><?><?><?>
              <?><?> <?><?><?> <?><?><?><?><?> <?><?><?><?><?>).  <?><?><?>
              field <?><?> <?><?><?><?><?> <?><?><?><?><?> <?><?><?><?><?>
              <?><?><?><?><?> <?><?><?><?><?> <?><?><?><?><?> <?><?><?><?><?>
              <?><?> <?><?><?> <?><?><?><?><?> <?><?><?><?><?><?>.

       <?><?> <?><?><?><?> <?><?><?> \regexp regexp-or-string <?>
       <?><?><?><?><?> <?><?><?><?><?><?><?> <?><?><?><?> <?><?>
       <?><?><?><?><?> <?><?> <?><?><?><?> <?><?> <?><?><?> <?><?><?><?><?>
       <?><?><?><?><?><?> (<?><?><?><?> <?><?><?><?><?> <?><?><?><?><?><?>
       <?><?><?><?><?><?>)<?> <?> <?><?> regexp-or-string <?><?><?><?><?>
       <?><?><?><?> <?><?><?><?><?><?>.  regexp-or-string <?><?>
       <?><?><?><?><?> <?><?><?><?><?><?><?> <?><?><?><?><?><?><?><?><?><?><?>
       <?><?><?> <?><?> <?><?> <?><?> <?><?><?><?> <?><?><?><?> <?><?>
       <?><?><?><?><?> <?><?><?><?><?><?><?> <?><?><?><?><?><?><?>
       <?><?><?><?><?><?> (<?><?> <?><?><?><?><?> <?><?><?><?><?>
       <?><?><?><?><?> <?><?> " <?><?> /).

       <?><?><?> E1 <?> E2 <?><?><?><?><?><?><?><?><?> <?><?><?><?><?><?>
       <?><?><?><?><?><?> <?><?><?><?><?> !  E1 <?> E1 && E2 <?> E1 || E2
       <?><?><?> <?><?> <?><?><?><?><?><?><?><?><?> <?>
       <?><?><?><?><?><?><?><?><?><?> <?><?><?><?><?><?><?> <?><?><?><?><?>
       <?><?><?><?> C<?> <?><?><?><?><?><?><?><?><?> <?><?><?><?><?><?>
       <?><?><?><?><?><?> <?><?><?>.  <?><?><?><?> <?><?><?><?><?>
       <?><?><?><?><?> <?><?> !  field op value <?><?> <?><?><?><?> !(field op
       value) <?><?><?><?><?> <?><?><?><?><?><?><?> <?><?> <?><?>
       <?><?><?><?><?> (!field) op value .


<?><?><?><?><?><?><?> <?><?><?><?><?> (VIRTUAL FIELDS)
       <?><?><?><?><?><?><?> <?><?><?><?><?> <?><?><?> <?><?><?><?><?>
       <?><?><?><?><?><?><?>:


       \timestamp
              <?><?><?><?><?><?> <?><?><?><?><?> <?><?><?><?> (timestamp)
              <?><?><?><?><?><?> <?><?><?><?> <?><?><?>.  value <?><?><?><?>
              <?><?> <?><?><?> <?><?><?><?> <?><?><?><?>:

                   ts:seconds.milli

              <?><?> <?><?> <?><?> seconds <?> milli <?><?><?><?><?>
              <?><?><?><?><?><?> <?><?><?><?><?> <?><?> <?><?> <?><?><?><?><?>
              <?><?><?> <?><?><?><?><?> <?> <?><?><?><?><?><?><?><?><?><?>
              <?><?><?><?><?> <?><?><?><?> <?><?> <?><?><?><?>
              <?><?><?><?><?><?><?>.


       \timestamp_ex
              <?><?><?> <?><?><?><?> <?><?><?><?><?> \timestamp <?><?><?>
              <?><?><?> <?><?><?><?><?> <?><?><?><?><?> <?><?><?><?><?><?>
              <?><?> <?><?><?> <?><?><?><?> <?><?><?><?><?><?>.  value
              <?><?><?><?> <?><?> <?><?><?> <?><?><?><?> <?><?><?><?>:

                   ts:seconds.milli:serial

              <?><?> <?><?> <?><?> serial <?><?> <?><?><?> <?><?><?><?><?><?>
              <?><?><?> <?><?> <?><?><?><?><?> <?><?><?><?><?>
              <?><?><?><?><?><?> <?><?> <?><?><?><?> <?><?><?><?><?><?>.


       \record_type
              <?><?><?><?><?><?> <?><?><?> <?><?><?><?><?> <?><?><?><?>
              <?><?><?>.  value <?><?> <?><?><?> <?><?><?> <?><?><?><?><?>
              <?><?><?><?> <?><?> <?><?> <?><?><?> <?><?><?><?><?><?> <?><?>
              <?><?><?> <?><?> <?><?><?><?> <?><?><?><?><?><?>.


<?><?><?><?><?><?><?><?><?> (SEMANTICS)
       <?><?><?><?><?> <?><?> <?><?> <?><?> <?><?> <?><?><?><?><?>
       <?><?><?><?><?> <?><?><?><?><?> <?><?><?><?><?><?>.  <?><?><?><?><?>
       <?><?><?><?> <?><?> <?><?><?><?><?><?> <?><?><?><?> <?><?><?><?><?>
       true <?><?><?><?><?> <?><?><?> <?><?><?> <?><?><?><?> <?><?>
       <?><?><?><?><?> <?><?><?><?><?> <?><?> <?><?><?><?><?><?><?>
       <?><?><?><?><?> true <?><?><?><?>.


<?><?><?><?><?><?> (EXAMPLES)
       <?><?> <?><?><?><?><?> <?><?><?><?><?><?> <?><?>
       <?><?><?><?><?><?><?><?><?> <?><?><?><?><?><?> <?><?><?><?><?><?><?>
       <?><?><?><?><?><?><?><?> <?><?><?><?><?> <?><?><?> <?><?>
       <?><?><?><?><?> true <?><?><?> <?><?> field <?><?><?><?> <?><?><?><?>:

              (field r= "") || (field r!= "")

       <?> <?><?><?><?> <?><?><?><?><?> <?><?><?><?><?><?> <?><?> <?><?><?><?>
       !( <?> ) <?><?><?><?><?> <?><?><?> <?><?><?><?><?> <?><?>
       <?><?><?><?><?> true <?><?><?> <?><?> field <?><?><?><?>
       <?><?><?><?><?><?> <?><?><?><?>.


<?><?><?><?><?><?><?> <?><?><?><?><?> (FUTURE DIRECTIONS)
       <?><?><?><?> <?><?><?> <?><?><?><?><?><?><?><?><?> <?><?><?><?>
       <?><?><?><?><?> <?><?><?><?> <?><?><?><?><?><?><?><?> <?><?><?><?>
       <?><?><?><?><?><?><?> <?><?><?><?><?> <?><?><?><?>.

       <?><?><?><?> <?><?><?><?><?><?><?> <?><?><?><?><?>
       <?><?><?><?><?><?><?><?><?> <?><?><?><?><?> <?><?> <?><?><?><?>
       <<<?><?><?>>> <?><?> <<<?><?><?><?><?><?><?><?>>> <?><?><?><?><?>
       <?><?><?><?><?><?><?><?><?><?> <?><?><?><?> <?><?><?>
       <?><?><?><?><?><?> <?><?> <?><?><?><?><?> <?><?><?><?><?> <?><?><?>.
       <?><?><?><?><?><?><?><?><?> <?><?> <?><?><?> <?><?><?><?><?><?>
       <?><?><?><?> <?><?><?><?><?> <?><?> <?><?><?><?><?><?> <?><?><?><?>
       <<<?><?><?>>> <?><?> <<<?><?><?><?><?><?><?><?>>> <?><?><?><?> <?><?>
       <?><?> <?><?><?><?><?><?><?> <?><?><?><?><?> false <?><?><?>.

       <?><?><?><?> <?><?><?> <?><?><?><?><?><?><?><?> <?><?><?><?><?> <?><?>
       <?><?><?><?><?><?><?><?> <?><?><?><?><?> <?><?><?><?> <?><?><?><?>
       <?><?><?><?><?> \timestamp <?><?><?><?><?> <?><?><?><?>.


<?><?><?><?><?><?><?> (AUTHOR)
       Miloslav Trmac

Red Hat                            Feb 2008             AUSEARCH-EXPRESSION(5)