Como executar o SecComp no Systemd para obter apenas avisos nos logs sobre chamadas de sistemas?

Question

Eu gostaria de executar um programa no systemd com o SecComp ativado, mas só receber aviso nos logs quando as chamadas dos sistemas filtrados forem feitas pelo programa (ou suas bibliotecas). Nota:

• Já usei ptrace para saber qual sistema chama meu programa requer. (Esse não é o ponto da minha pergunta)
• Com o padrão SystemCallErrorNumber=RET_KILL , o programa termina corretamente, a menos que eu filtre a chamada do sistema, como esperado.

Eu tentei definir SystemCallErrorNumber para EPERM , EACCES . Mas:

• Não há nada nos logs que indique que clone foi chamado. Talvez isso seja possível com uma regra auditd ?
• Parece depender do syscall! Se eu filtrar apenas brk , o programa terminará com error while loading shared libraries: libc.so.6: cannot open shared object file: Operation not permitted ?!