destination d_apparmor { file("/var/log/apparmor.log"); };

filter f_apparmor { match("AppArmor:" value("MESSAGE")); };
filter f_apparmor_audit { message("[.*\..*].*audit.*apparmor.*"); };

log { source(src); filter(f_apparmor); destination(d_apparmor); };
log { source(src); filter(f_apparmor_audit); destination(d_apparmor); };