Kurz und bündig nur eben kurz ein Beispiel wie man Syslog-ng Filter definieren kann, um bestimmte Meldungen in einem seperaten Logfile abzulegen.
Konkret hab ich mir hier einige Regeln definiert, um Firestarter Firewall Meldungen für jedes Interface in ein jeweils eigenes Logfile umzuleiten.

Viel Spass damit ;)

/etc/syslog-ng/syslog-ng.conf:

# this should already be there as default
source src { unix-stream("/dev/log"); internal(); pipe("/proc/kmsg"); };

# Filter for Firestarter
filter firestarter_ppp0 { match("IN=ppp0"); };
destination firestarter_ppp0 { file("/var/log/firestarter-ppp0.log"); };
log {
	source(src);
	filter(firestarter_ppp0);
	destination(firestarter_ppp0);
	flags(final);
};

filter firestarter_eth0 { match("InputIN=eth0"); };
destination firestarter_eth0 { file("/var/log/firestarter-eth0.log"); };
log {
	source(src);
	filter(firestarter_eth0);
	destination(firestarter_eth0);
	flags(final);
};

filter firestarter_eth1 { match("InputIN=eth1"); };
destination firestarter_eth1 { file("/var/log/firestarter-eth1.log"); };
log {
	source(src);
	filter(firestarter_eth1);
	destination(firestarter_eth1);
	flags(final);
};

filter firestarter_eth2 { match("InputIN=eth2"); };
destination firestarter_eth2 { file("/var/log/firestarter-eth2.log"); };
log {
	source(src);
	filter(firestarter_eth2);
	destination(firestarter_eth2);
	flags(final);
};