execve 감사 기록에서 auid와 uid가 다른 경우 auid를 함께 보는 이유는?

1. 1

   현재 프로세스가 파일 접근 검사에 사용하는 실사용자 ID인 uid만 확인하기 위해

2. 2

   setuid 실행 뒤 권한 검사에 쓰이는 유효 사용자 ID인 euid를 최초 로그인 계정으로 간주하기 위해

3. 3

   sudo·su 같은 권한 전환 전의 최초 로그인 사용자를 행위와 연결하기 위해

4. 4

   같은 로그인 세션의 사건을 묶는 ses 값 대신 파일 크기를 계산하기 위해