- macro:
  condition: evt.type=execve