Filtrando eventos con RSYSLOG

Después de una exhaustiva investigación, finalmente me he encontrado con la siguiente línea:

:rawmsg, contains,"User logged out"  -/var/log/pruebas.log

La cual filtra únicamente los logs recibidos de un Cisco ASA que contiene el loggout del usuario.