auditctlは何も記録しません。

外部mysqlホストに接続できないサーバーのアプリケーション/アクティビティを見つけようとします。そのためにを使用することにしましたauditctl。次のコマンドを実行しています。

[nir]$ sudo auditctl -A exit,always -F arch=b64 -S connect
[nir]$ sudo auditctl -l | grep -i 'arch'
-a always,exit -F arch=b64 -S connect
[nir]$ sudo ls -l -h /var/log/audit/audit.log
-rw------- 1 root root 6.2M May  1  2020 /var/log/audit/audit.log
[nir]$ sudo auditctl -m 'hey, are you working at all?'
[nir]$ sudo ls -l -h /var/log/audit/audit.log
-rw------- 1 root root 6.2M May  1  2020 /var/log/audit/audit.log
[nir]$ service auditd status
Redirecting to /bin/systemctl status auditd.service
● auditd.service - Security Auditing Service
   Loaded: loaded (/usr/lib/systemd/system/auditd.service; enabled; vendor preset: enabled)
   Active: active (running) since Sun 2019-12-15 20:24:05 UTC; 1 years 2 months ago
     Docs: man:auditd(8)
           https://github.com/linux-audit/audit-documentation
 Main PID: 1898 (auditd)
    Tasks: 2
   Memory: 140.0K
   CGroup: /system.slice/auditd.service
           └─1898 /sbin/auditd

Warning: Journal has been rotated since unit was started. Log output is incomplete or unavailable.

ただし、ログファイルは/var/log/audit/audit.logまったく更新されません。私はAWS EC2サーバーを使用しています。

どんな提案がありますか？