18.3. Lua Libraries

Suricata provides Lua extensions, or libraries to Lua scripts with the require keyword. These extensions are particularly important in Lua rules as Lua rules are executed in a restricted sandbox environment without access to additional modules.

• 18.3.1. Base64
  • 18.3.1.1. Functions
    • 18.3.1.1.1. encode(string)
    • 18.3.1.1.2. decode(string)
    • 18.3.1.1.3. encode_nopad(string)
    • 18.3.1.1.4. decode_nopad(string)
    • 18.3.1.1.5. decode_padopt(string)
    • 18.3.1.1.6. decode_rfc2045(string)
    • 18.3.1.1.7. decode_rfc4648(string)
  • 18.3.1.2. Implementation Details
• 18.3.2. Bytevar
  • 18.3.2.1. Setup
  • 18.3.2.2. Module Functions
    • bytevars.map()
    • bytevars.get()
  • 18.3.2.3. Byte Variable Object Methods
• 18.3.3. Config Library
  • 18.3.3.1. Functions
    • 18.3.3.1.1. log_path()
• 18.3.4. DNS
  • 18.3.4.1. Setup
    • 18.3.4.1.1. Transaction
    • 18.3.4.1.2. Transaction Methods
  • 18.3.4.2. answers()
  • 18.3.4.3. authorities()
  • 18.3.4.4. queries()
  • 18.3.4.5. rcode()
  • 18.3.4.6. rcode_string()
  • 18.3.4.7. recursion_desired()
  • 18.3.4.8. rrname()
  • 18.3.4.9. txid()
• 18.3.5. File
  • 18.3.5.1. Setup
  • 18.3.5.2. API
    • 18.3.5.2.1. File Object
    • 18.3.5.2.2. File Methods
      • 18.3.5.2.2.1. file_id()
      • 18.3.5.2.2.2. tx_id()
      • 18.3.5.2.2.3. name()
      • 18.3.5.2.2.4. size()
      • 18.3.5.2.2.5. magic()
      • 18.3.5.2.2.6. md5()
      • 18.3.5.2.2.7. sha1()
      • 18.3.5.2.2.8. sha256()
      • 18.3.5.2.2.9. get_state()
      • 18.3.5.2.2.10. is_stored()
• 18.3.6. Flow
  • 18.3.6.1. Initialization
    • 18.3.6.1.1. get
  • 18.3.6.2. Time
    • 18.3.6.2.1. timestamps
    • 18.3.6.2.2. timestring_legacy
    • 18.3.6.2.3. timestring_iso8601
  • 18.3.6.3. Ports and Addresses
  • 18.3.6.4. tuple
  • 18.3.6.5. App Layer Protocols
    • 18.3.6.5.1. app_layer_proto
  • 18.3.6.6. Misc
    • 18.3.6.6.1. has_alerts
    • 18.3.6.6.2. id
    • 18.3.6.6.3. stats
  • 18.3.6.7. Example
• 18.3.7. Flowint Library
  • 18.3.7.1. Initialization
  • 18.3.7.2. Flow Integer Methods
    • 18.3.7.2.1. decr()
    • 18.3.7.2.2. incr()
    • 18.3.7.2.3. value()
    • 18.3.7.2.4. set(value)
• 18.3.8. Flowvar
  • 18.3.8.1. Initialization
  • 18.3.8.2. Flow Variable Methods
    • 18.3.8.2.1. value()
    • 18.3.8.2.2. set(value, len)
  • 18.3.8.3. Example
• 18.3.9. Hashing
  • 18.3.9.1. SHA-256
    • 18.3.9.1.1. sha256_digest(string)
    • 18.3.9.1.2. sha256_hex_digest(string)
    • 18.3.9.1.3. sha256()
  • 18.3.9.2. SHA-1
    • 18.3.9.2.1. sha1_digest(string)
    • 18.3.9.2.2. sha1_hex_digest(string)
    • 18.3.9.2.3. sha1()
  • 18.3.9.3. MD5
    • 18.3.9.3.1. md5_digest(string)
    • 18.3.9.3.2. md5_hex_digest(string)
    • 18.3.9.3.3. md5()
• 18.3.10. HTTP
  • 18.3.10.1. Setup
    • 18.3.10.1.1. Transaction
    • 18.3.10.1.2. Transaction Methods
  • 18.3.10.2. request_header()
  • 18.3.10.3. response_header()
  • 18.3.10.4. request_line
  • 18.3.10.5. response_line
  • 18.3.10.6. request_headers_raw()
  • 18.3.10.7. response_headers_raw()
  • 18.3.10.8. request_uri_raw()
  • 18.3.10.9. request_uri_normalized()
  • 18.3.10.10. request_headers()
  • 18.3.10.11. response_headers()
  • 18.3.10.12. request_body()
  • 18.3.10.13. response_body()
  • 18.3.10.14. request_host()
• 18.3.11. Log
  • 18.3.11.1. Setup
  • 18.3.11.2. Functions
    • 18.3.11.2.1. info
    • 18.3.11.2.2. notice
    • 18.3.11.2.3. warning
    • 18.3.11.2.4. error
    • 18.3.11.2.5. debug
    • 18.3.11.2.6. config
    • 18.3.11.2.7. perf
• 18.3.12. Packet
  • 18.3.12.1. Initialization
    • 18.3.12.1.1. get
  • 18.3.12.2. Time
    • 18.3.12.2.1. timestamp
    • 18.3.12.2.2. timestring_legacy
    • 18.3.12.2.3. timestring_iso8601
  • 18.3.12.3. Ports and Addresses
    • 18.3.12.3.1. tuple
    • 18.3.12.3.2. sp
    • 18.3.12.3.3. dp
  • 18.3.12.4. Data
    • 18.3.12.4.1. payload
    • 18.3.12.4.2. packet
  • 18.3.12.5. Misc
    • 18.3.12.5.1. pcap_cnt
  • 18.3.12.6. Example
• 18.3.13. Rule
  • 18.3.13.1. Rule Setup
  • 18.3.13.2. Output Setup
  • 18.3.13.3. Getting a Rule Instance
  • 18.3.13.4. Rule Methods
    • 18.3.13.4.1. action()
    • 18.3.13.4.2. class_description()
    • 18.3.13.4.3. gid()
    • 18.3.13.4.4. rev()
    • 18.3.13.4.5. msg()
    • 18.3.13.4.6. priority
    • 18.3.13.4.7. sid()
• 18.3.14. SMTP
  • 18.3.14.1. Setup
  • 18.3.14.2. API
    • 18.3.14.2.1. Transaction
    • 18.3.14.2.2. Transaction Methods
      • 18.3.14.2.2.1. get_mime_field(name)
      • 18.3.14.2.2.2. get_mime_list()
      • 18.3.14.2.2.3. get_mail_from()
      • 18.3.14.2.2.4. get_rcpt_list()
• 18.3.15. SSH
  • 18.3.15.1. Setup
    • 18.3.15.1.1. Transaction
    • 18.3.15.1.2. Transaction Methods
  • 18.3.15.2. server_proto()
  • 18.3.15.3. client_proto()
  • 18.3.15.4. server_software()
  • 18.3.15.5. client_software()
  • 18.3.15.6. client_hassh()
  • 18.3.15.7. client_hassh_string()
  • 18.3.15.8. server_hassh()
  • 18.3.15.9. server_hassh_string()
• 18.3.16. TLS
  • 18.3.16.1. Setup
  • 18.3.16.2. API
    • 18.3.16.2.1. Transaction
    • 18.3.16.2.2. Client Methods
      • 18.3.16.2.2.1. get_client_version
      • 18.3.16.2.2.2. get_client_cert_chain
      • 18.3.16.2.2.3. get_client_cert_info
      • 18.3.16.2.2.4. get_client_cert_not_after
      • 18.3.16.2.2.5. get_client_cert_not_before
      • 18.3.16.2.2.6. get_client_serial
      • 18.3.16.2.2.7. get_client_sni
    • 18.3.16.2.3. Server Methods
      • 18.3.16.2.3.1. get_server_cert_info
      • 18.3.16.2.3.2. get_server_cert_chain
      • 18.3.16.2.3.3. get_server_cert_not_after
      • 18.3.16.2.3.4. get_server_cert_not_before
      • 18.3.16.2.3.5. get_server_serial
• 18.3.17. JA3
  • 18.3.17.1. Transaction
  • 18.3.17.2. Transaction Methods
    • 18.3.17.2.1. ja3_get_hash()
    • 18.3.17.2.2. ja3_get_string()
    • 18.3.17.2.3. ja3s_get_hash()
    • 18.3.17.2.4. ja3s_get_string()
• 18.3.18. Util
  • 18.3.18.1. Setup
    • 18.3.18.1.1. Functions
      • thread_info()