<div dir="ltr">Wow, so, learn something new every day (recent post on list).<div><br></div><div>Does endswith work with negation?</div><div><br></div><div>content:!"<a href="http://realdomain.com">realdomain.com</a>"; endswith;</div><div><br></div><div>Im looking at this as a way to revamp ETPro sigs for phishing by excluding the valid domains from the signature with this method. Currently it uses isdataat, but endswith seems better? Is it more resource intensive than isdataat?</div><div><br></div><div>Thanks!</div></div>