用途：该技能面向威胁情报共享场景，指导部署 TAXII 2.1 服务器（Medallion，OASIS 参考实现），并为威胁情报源配置集合、发布 STIX 2.1 情报包，再接入 SIEM/SOAR 实现指标自动摄取。资料同时提到 OpenTAXII（EclecticIQ 开源实现）主要支持 TAXII 1.x，与 2.1 参考实现区分。
主要能力：TAXII 2.1 定义 Discovery、API Root、Collections 三类服务；集合支持只读、只写、读写访问控制；使用 application/taxii+json;version=2.1 内容协商。共享模型包括 hub-and-spoke、点对点、源-订阅。传输的 STIX 2.1 对象包括 Indicator、Observed Data、Malware、Attack Pattern、Threat Actor、Intrusion Set、Campaign、Relationship、Sighting，均含 STIX ID、时间戳与可选 TLP 标记。
使用方式：前置条件为 Python 3.9+ 及 medallion、stix2、taxii2client、opentaxii、cabby 库，Docker 与 Docker Compose，生产环境需 TLS 证书。流程为：生成 medallion 配置与初始数据文件（含 users 与 api_roots/collections）；用 docker-compose 启动服务，端口 6100，健康检查访问 http://localhost:6100/taxii2/；用 taxii2client.v21 的 Server、Collection、as_pages 列出集合、add_objects 发布 Bundle、按 added_after 轮询并分页拉取对象，再抽取 IOC 推送至 Splunk HEC 或 Elasticsearch。验证要点包括 HTTPS 可访问、集合读写权限正确、Bundle 发布成功、消费者可过滤取数、IOC 转发至 SIEM、认证授权生效。
限制：资料未提供 OpenTAXII 的部署细节、收费、性能指标或生产加固步骤；默认示例为内存后端且使用明文示例密码，生产须替换并启用 TLS。