用途：构建并共享结构化威胁情报，使用 stix2 Python 库创建 STIX 2.1 对象，并通过 TAXII 2.1 传输协议发布与消费。适用于与伙伴组织交换 IOC 的威胁情报平台、从 MISP/OpenCTI 等 TIP 自动导入导出指标、为 ISAC/ISAO 共享社区生成机器可读报告、向 TAXII 2.1 服务器发布供 SIEM/SOAR 消费、将非结构化报告转为标准 Bundle，以及用关系把指标关联到恶意软件、攻击活动和威胁行为体。不适用于仅共享简单 IP 黑名单或 CSV 式 IOC 源等无需关系上下文的场景。
主要能力：创建 SDO（Indicator、Malware、ThreatActor、Campaign、AttackPattern、Identity）与 SRO（Relationship、Sighting）；用 STIX Patterning 语言定义检测模式（文件哈希、域名、进程命令行、邮件主题等）；用 Relationship 表达 uses、indicates、attributed-to 等关系；组装并序列化 Bundle；从 TAXII 2.1 服务器按 added_after、type 过滤拉取对象；向可写集合发布 Bundle；用 parse 与 stix2-validator 校验对象。
使用方式：先安装依赖 pip install stix2 taxii2-client requests；创建对象后组装 Bundle 并 serialize(pretty=True) 写入 JSON；消费时用 taxii2client.v21 的 Server、Collection、as_pages 连接并 get_objects；发布时以 Content-Type application/taxii+json;version=2.1 向集合 objects 端点 POST；校验可运行 stix2_validator emotet_campaign_bundle.json。
前提与限制：需 Python 3.8+、stix2、taxii2-client、可用的 TAXII 2.1 服务器端点，并熟悉 STIX 2.1 的 SDO/SRO 类型；可选 OpenCTI 或 MISP 做端到端集成测试。资料未提供具体收费、价格或平台支持信息。