Hey @sphc, if they solved your problem, remember to "√Accept" an answer to award karma points 🙂 ... View more

Thank you:) And if And if I can make groups from <VULN number="MP-412750" severity="5" cveid="CVE-2011-1276"> <TITLE> Excel</TITLE> <PCI_FLAG>1</PCI_FLAG> <CVSS_BASE>9.3</CVSS_BASE> <CVSS_TEMPORAL>6.9</CVSS_TEMPORAL> <CONSEQUENCE><![CDATA[Уязвимость, позволяющая удаленно выполнить код, существует в Microsoft Excel при обработке специально сформированных файлов Excel. В случае успешной эксплуатации данной уязвимости злоумышленник может получить полный контроль над системой и права на установку программ; просмотр, изменение или удаление данных или создание новых учетных записей с полными правами.]]></CONSEQUENCE> <DIAGNOSIS><![CDATA[Уязвимость позволяет атакующему выполнить произвольный код.]]></DIAGNOSIS> <RESULT>N/A</RESULT> <SOLUTION><![CDATA[Используйте рекомендации производителя: http://www.microsoft.com/technet/security/Bulletin/MS11-045.mspx]]></SOLUTION></VULN> What regex fit? PS. from <VULN number to </VULN> Also Everything repeats .. ... View more

@sphc, for extracting XML nodes you should try spath command (https://docs.splunk.com/Documentation/Splunk/latest/SearchReference/Spat). Unless you have turned on KV_MODE as xml for your data (which extracts XML nodes during search time field discovery), you should ideally write a rex to extract XML data and then apply spath on that to extract fields. Following is a run anywhere search based on your examples: | makeresults | eval _raw="<VULN number=\"MP-413771\" severity=\"5\" cveid=\"CVE-2015-1762\">" | append [| makeresults | eval _raw="<VULN number=\"MP-413771\" severity=\"5\">"] | spath | table VULN* ... View more

@sphc, since you have upvoted both answers, requesting you to accept the one which you are using. ... View more