Trovo che quando il sottosistema di controllo raggiunge il limite del backlog (impostato tramite auditctl -b 1023 ) per la prima volta, il syscall corrente verrà sospeso per circa 1 minuto. Dopo 1 minuto, il contatore perso verrà aumentato e verrà restituito il syscall. Dopo la prima volta, se viene raggiunto di nuovo il limite del backlog, il syscall ritornerà e il contatore perso verrà immediatamente aumentato.
Perché il syscall si blocca per 1 minuto la prima volta? Questo comportamento renderebbe il sistema inutilizzabile totalmente per 1 minuto. Come posso evitare questo?