El token socket contiene información que describe un socket de Internet. En algunos casos, el token incluye solamente el puerto remoto y la dirección IP remota.
El comando praudit muestra esta instancia del token socket de la siguiente manera:
socket,0x0002,0x83b1,localhost
El token ampliado agrega información, incluidos el tipo de socket e información sobre el puerto local.
El comando praudit -x muestra esta instancia del token socket de la siguiente manera. La línea en el siguiente ejemplo se ajustó con fines de visualización.
<socket sock_domain="0x0002" sock_type="0x0002" lport="0x83cf" laddr="example1" fport="0x2383" faddr="server1.Subdomain.Domain.COM"/>