<div dir="ltr">So, I have a rule that has the following stub:<div><br></div><div><br></div><div>content:"<a href="http://paypal.com">paypal.com</a>";http_host;isdataat:0,relative</div><div><br></div><div>This checks to confirm the host IS <a href="http://somethingsomething.paypal.com">somethingsomething.paypal.com</a>, and always ends in <a href="http://paypal.com">paypal.com</a>.</div><div><br></div><div>My question is, and this is conjecture because I am having a hard time procuring the right pcap, will negating the content make this fire on anything that does NOT end in <a href="http://paypal.com">paypal.com</a>? Like so:</div><div><br></div><div>content:!"<a href="http://paypal.com">paypal.com</a>";http_host;isdataat:0,relative</div><div><br></div><div>Thanks!</div></div>