Ну вот несколько примеров.
# Все от программы ntpdate в файл /var/log/ntpdate
if $programname == 'ntpdate' then /var/log/ntp
# все остальное в файл /var/log/daemon
if $programname != 'ntpdate' \
and $syslogfacility-text == 'daemon' then /var/log/daemon
# Сообщения MARK в файл /var/log/marks
if $msg == '-- MARK --' then /var/log/marks
# остальные в /var/log/kernel
if $msg != '-- MARK --' \
and $syslogfacility-text == 'kern' then /var/log/kernel
У Rsyslog несмотря на наличие документации с примерами бяда-бяда...
