Değer eşleştirme

Modifier olmadan: değerin tamamı

Image: 'C:\Windows\System32\mshta.exe', yalnızca alanın tamamı bu metne eşit olduğunda eşleşir. Karşılaştırma büyük-küçük harfe bakmaz; C:\windows\system32\MSHTA.EXE de eşleşir, ama C:\Windows\SysWOW64\mshta.exe eşleşmez. Sigma, cased modifier'ı kullanılmadıkça (Image|cased: ...) metinleri büyük-küçük harfe bakmadan karşılaştırır.

Joker karakterler

Bir değerde iki karakterin özel anlamı vardır: * herhangi sayıda karakter, ? tam olarak bir karakter yerine geçer. Image: '*\mshta.exe', \mshta.exe ile biten her yolla eşleşir. Gerçek bir * ya da ? aramak için önüne ters bölü koyun: \*. Başka bir karakterden önce gelen ters bölü sıradan bir ters bölüdür; Windows yolları olduğu gibi yazılır.

Modifier'lar

Modifier, alan adından sonra | ile yazılır ve değerin nasıl karşılaştırılacağını değiştirir:

• contains: değer alanın herhangi bir yerinde geçer. CommandLine|contains: 'vbscript:'
• startswith: alan değerle başlar.
• endswith: alan değerle biter. Image|endswith: '\mshta.exe', bir programı hangi klasörden çalıştığına bakmadan anmanın yaygın yoludur.

Modifier'lar joker karakterlerden daha kolay okunur ve ne kastedildiğini söyler. contains aralarında en geniş olanıdır ve istemediğiniz şeylerle eşleşme olasılığı en yüksek olandır; konum biliniyorsa startswith ya da endswith tercih edin.

Değer listesi

Bir alan bir liste alabilir. Değerlerden herhangi biri eşleşirse alan eşleşir:

CommandLine|contains:
  - 'vbscript:'
  - 'javascript:'

Aynı aramadaki iki koşul, aynı alana farklı modifier'larla baksalar da ikisi birden eşleşmelidir. Sonraki ders bunun üzerine kurulu.