用途：本技能说明如何搭建 TAXII 服务器，用于通过 HTTPS 交换 STIX 格式的网络威胁情报，并实现指标的自动化发布与消费。资料覆盖 TAXII 概念、OpenTAXII 与 TAXII 2.1 参考实现，以及将威胁指标接入 SIEM/SOAR 的流程。
主要能力：TAXII 2.1 定义 Discovery、API Root、Collections 三类服务；集合支持读、写或读写权限，使用 application/taxii+json;version=2.1 内容协商。支持 hub-and-spoke、peer-to-peer、source-subscriber 等共享模型。传输 STIX 2.1 bundle，包含 Indicator、Malware、Attack Pattern、Threat Actor、Relationship、Sighting 等对象，可带 TLP 标记。资料给出部署、发布和消费 STIX 对象的步骤：使用 medallion 作为 OASIS 参考实现，配置 backend 与用户，创建 API root 和集合；用 docker-compose 运行 medallion（端口 6100）；用 stix2 与 taxii2client.v21 创建 Indicator、Malware、Relationship 等对象并发布到集合；消费者通过 as_pages 分页拉取对象，可按 added_after 过滤，并抽取 IOC 推送至 Splunk HEC 或 Elasticsearch。
适用场景：构建威胁情报共享服务器，向消费方分发 IOC；从合作方或社区集合采集情报；将 STIX 指标自动化导入 SIEM/SOAR。
限制：需 Python 3.9+ 及 medallion、stix2、taxii2-client 等依赖，生产环境需 TLS 证书。资料中的密码为示例值，需更换；示例使用 verify=False，仅作演示。实际部署的平台兼容性、收费与性能表现暂未提供。