16.3. Lua Libraries

Suricata provides Lua extensions, or libraries to Lua scripts with the require keyword. These extensions are particularly important in Lua rules as Lua rules are executed in a restricted sandbox environment without access to additional modules.

• 16.3.1. Base64
  • 16.3.1.1. Functions
    • 16.3.1.1.1. encode(string)
    • 16.3.1.1.2. decode(string)
    • 16.3.1.1.3. encode_nopad(string)
    • 16.3.1.1.4. decode_nopad(string)
    • 16.3.1.1.5. decode_padopt(string)
    • 16.3.1.1.6. decode_rfc2045(string)
    • 16.3.1.1.7. decode_rfc4648(string)
  • 16.3.1.2. Implementation Details
• 16.3.2. Bytevar
  • 16.3.2.1. Setup
  • 16.3.2.2. Module Functions
    • bytevars.map()
    • bytevars.get()
  • 16.3.2.3. Byte Variable Object Methods
• 16.3.3. Config Library
  • 16.3.3.1. Functions
    • 16.3.3.1.1. log_path()
• 16.3.4. DNP3
  • 16.3.4.1. Setup
  • 16.3.4.2. Module Functions
    • dnp3.get_tx()
  • 16.3.4.3. Transaction Object Structure
    • tx_num
    • is_request
    • request
    • response
  • 16.3.4.4. Request/Response Structure
    • done
    • complete
    • link_header
    • transport_header
    • application_header
    • objects
    • indicators
  • 16.3.4.5. Objects Structure
    • group
    • variation
    • points
  • 16.3.4.6. Points Structure
    • index
  • 16.3.4.7. Example Usage
• 16.3.5. DNS
  • 16.3.5.1. Setup
    • 16.3.5.1.1. Transaction
    • 16.3.5.1.2. Transaction Methods
  • 16.3.5.2. answers()
  • 16.3.5.3. authorities()
  • 16.3.5.4. queries()
  • 16.3.5.5. rcode()
  • 16.3.5.6. rcode_string()
  • 16.3.5.7. recursion_desired()
  • 16.3.5.8. rrname()
  • 16.3.5.9. txid()
• 16.3.6. File
  • 16.3.6.1. Setup
  • 16.3.6.2. API
    • 16.3.6.2.1. File Object
    • 16.3.6.2.2. File Methods
      • 16.3.6.2.2.1. file_id()
      • 16.3.6.2.2.2. tx_id()
      • 16.3.6.2.2.3. name()
      • 16.3.6.2.2.4. size()
      • 16.3.6.2.2.5. magic()
      • 16.3.6.2.2.6. md5()
      • 16.3.6.2.2.7. sha1()
      • 16.3.6.2.2.8. sha256()
      • 16.3.6.2.2.9. get_state()
      • 16.3.6.2.2.10. is_stored()
• 16.3.7. Flow
  • 16.3.7.1. Initialization
    • 16.3.7.1.1. get
  • 16.3.7.2. Time
    • 16.3.7.2.1. timestamps
    • 16.3.7.2.2. timestring_legacy
    • 16.3.7.2.3. timestring_iso8601
  • 16.3.7.3. Ports and Addresses
    • 16.3.7.3.1. tuple
  • 16.3.7.4. App Layer Protocols
    • 16.3.7.4.1. app_layer_proto
  • 16.3.7.5. Misc
    • 16.3.7.5.1. has_alerts
    • 16.3.7.5.2. id
    • 16.3.7.5.3. stats
  • 16.3.7.6. Example
• 16.3.8. Flowint Library
  • 16.3.8.1. Initialization
  • 16.3.8.2. Flow Integer Methods
    • 16.3.8.2.1. decr()
    • 16.3.8.2.2. incr()
    • 16.3.8.2.3. value()
    • 16.3.8.2.4. set(value)
• 16.3.9. Flowvar
  • 16.3.9.1. Initialization
  • 16.3.9.2. Flow Variable Methods
    • 16.3.9.2.1. value()
    • 16.3.9.2.2. set(value, len)
  • 16.3.9.3. Example
• 16.3.10. Hashing
  • 16.3.10.1. SHA-256
    • 16.3.10.1.1. sha256_digest(string)
    • 16.3.10.1.2. sha256_hex_digest(string)
    • 16.3.10.1.3. sha256()
  • 16.3.10.2. SHA-1
    • 16.3.10.2.1. sha1_digest(string)
    • 16.3.10.2.2. sha1_hex_digest(string)
    • 16.3.10.2.3. sha1()
  • 16.3.10.3. MD5
    • 16.3.10.3.1. md5_digest(string)
    • 16.3.10.3.2. md5_hex_digest(string)
    • 16.3.10.3.3. md5()
• 16.3.11. HTTP
  • 16.3.11.1. Setup
    • 16.3.11.1.1. Transaction
    • 16.3.11.1.2. Transaction Methods
  • 16.3.11.2. request_header()
  • 16.3.11.3. response_header()
  • 16.3.11.4. request_line
  • 16.3.11.5. response_line
  • 16.3.11.6. request_headers_raw()
  • 16.3.11.7. response_headers_raw()
  • 16.3.11.8. request_uri_raw()
  • 16.3.11.9. request_uri_normalized()
  • 16.3.11.10. request_headers()
  • 16.3.11.11. response_headers()
  • 16.3.11.12. request_body()
  • 16.3.11.13. response_body()
  • 16.3.11.14. request_host()
• 16.3.12. Log
  • 16.3.12.1. Setup
  • 16.3.12.2. Functions
    • 16.3.12.2.1. info
    • 16.3.12.2.2. notice
    • 16.3.12.2.3. warning
    • 16.3.12.2.4. error
    • 16.3.12.2.5. debug
    • 16.3.12.2.6. config
    • 16.3.12.2.7. perf
• 16.3.13. Packet
  • 16.3.13.1. Initialization
    • 16.3.13.1.1. get
  • 16.3.13.2. Time
    • 16.3.13.2.1. timestamp
    • 16.3.13.2.2. timestring_legacy
    • 16.3.13.2.3. timestring_iso8601
  • 16.3.13.3. Ports and Addresses
    • 16.3.13.3.1. tuple
    • 16.3.13.3.2. sp
    • 16.3.13.3.3. dp
  • 16.3.13.4. Data
    • 16.3.13.4.1. payload
    • 16.3.13.4.2. packet
  • 16.3.13.5. Misc
    • 16.3.13.5.1. pcap_cnt
  • 16.3.13.6. Example
• 16.3.14. Rule
  • 16.3.14.1. Rule Setup
  • 16.3.14.2. Output Setup
  • 16.3.14.3. Getting a Rule Instance
  • 16.3.14.4. Rule Methods
    • 16.3.14.4.1. action()
    • 16.3.14.4.2. class_description()
    • 16.3.14.4.3. gid()
    • 16.3.14.4.4. rev()
    • 16.3.14.4.5. msg()
    • 16.3.14.4.6. priority
    • 16.3.14.4.7. sid()
• 16.3.15. SMTP
  • 16.3.15.1. Setup
  • 16.3.15.2. API
    • 16.3.15.2.1. Transaction
    • 16.3.15.2.2. Transaction Methods
      • 16.3.15.2.2.1. get_mime_field(name)
      • 16.3.15.2.2.2. get_mime_list()
      • 16.3.15.2.2.3. get_mail_from()
      • 16.3.15.2.2.4. get_rcpt_list()
• 16.3.16. SSH
  • 16.3.16.1. Setup
    • 16.3.16.1.1. Transaction
    • 16.3.16.1.2. Transaction Methods
  • 16.3.16.2. server_proto()
  • 16.3.16.3. client_proto()
  • 16.3.16.4. server_software()
  • 16.3.16.5. client_software()
  • 16.3.16.6. client_hassh()
  • 16.3.16.7. client_hassh_string()
  • 16.3.16.8. server_hassh()
  • 16.3.16.9. server_hassh_string()
• 16.3.17. TLS
  • 16.3.17.1. Setup
  • 16.3.17.2. API
    • 16.3.17.2.1. Transaction
    • 16.3.17.2.2. Client Methods
      • 16.3.17.2.2.1. get_client_version
      • 16.3.17.2.2.2. get_client_cert_chain
      • 16.3.17.2.2.3. get_client_cert_info
      • 16.3.17.2.2.4. get_client_cert_not_after
      • 16.3.17.2.2.5. get_client_cert_not_before
      • 16.3.17.2.2.6. get_client_serial
      • 16.3.17.2.2.7. get_client_sni
    • 16.3.17.2.3. Server Methods
      • 16.3.17.2.3.1. get_server_cert_info
      • 16.3.17.2.3.2. get_server_cert_chain
      • 16.3.17.2.3.3. get_server_cert_not_after
      • 16.3.17.2.3.4. get_server_cert_not_before
      • 16.3.17.2.3.5. get_server_serial
• 16.3.18. JA3
  • 16.3.18.1. Transaction
  • 16.3.18.2. Transaction Methods
    • 16.3.18.2.1. ja3_get_hash()
    • 16.3.18.2.2. ja3_get_string()
    • 16.3.18.2.3. ja3s_get_hash()
    • 16.3.18.2.4. ja3s_get_string()
• 16.3.19. Util
  • 16.3.19.1. Setup
    • 16.3.19.1.1. Functions
      • thread_info()