Esta não é exatamente a resposta que você deseja, mas: use o logcheck. Ele faz exatamente isso (filtra todos os logs normais e apenas envia e-mails que sobram).
Existe uma maneira de obter logwatch, em vez de sempre enviar um relatório diário, para enviar um relatório apenas por e-mail quando houver um problema, ou seja, os logs filtrados não estão vazios?
Esta não é exatamente a resposta que você deseja, mas: use o logcheck. Ele faz exatamente isso (filtra todos os logs normais e apenas envia e-mails que sobram).
Tags logwatch