Crowdstrike核心产品及成长逻辑分析

CrowdStrike 是全球终端安全领域领导者，提供云原生端点保护解决方案。

CrowdStrike 成立于 2011 年， 旨在提供基于订阅的高级云原生网络安全解决方案，专为云计算环境设计，利用云的灵活性、可扩展性和资源 共享特性来增强安全性。该公司专注于保护企业的关键风险领域，包括端点保护，保护网络中所有终端设备， 如桌面电脑、笔记本电脑、智能手机和平板电脑等，免受恶意软件、病毒、钓鱼攻击和其他网络威胁；云工作 负载，专门为在云环境中运行的服务器、应用程序和数据提供安全保护；身份验证和数据安全。其核心产品 CrowdStrike Falcon 是数据驱动的 AI 云原生平台，通过单个代理的轻量级架构、集成式的综合平台和高度模块 化的解决方案代替传统单点且分散的网络安全产品，以降低复杂性和部署成本。公司收入包括 Falcon 平台 SaaS 订阅收入和服务收入。其中Falcon平台是主要收入来源，包含 27个模块，涉及终端安全、云安全、暴露管理、 生成式 AI等多个领域。服务收入包括事件响应服务、技术评估与战略咨询和培训服务。CrowdStrike FY2024 总 收入为 30.6 亿美元，同比增长 36.3%。其中，订阅收入为 28.7 亿美元，同比增长 35.9%，占比 93.9%，GPM 达 78.0%；服务收入为 1.9 亿美元，同比增长 42.8%，占比 6.1%，GPM 达 32.4%。

网络攻击增加及数字化渗透率提升驱动网安市场继续增长。从商业模式上，网络安全与保险有一定类似之 处，即网安是攻击驱动的，以风险管理为目的，企业购买网安服务/产品实际上是对风险管理的投资，因此大 体上网安市场的增长驱动力来自1）网安所覆盖资产价值提升，可能由于数字化率提升，IT资产价值提升；2） 防护性能提升导致风险下降。其中由于网络攻击和防护是动态变化的，所以网络安防性能往往是周期波动的， 但数字化率提升及 IT 资产价值提升为长期增长驱动力。

整体来看，网安市场可大体分为云、管、端，对应云端、网络传输端、端侧，市场发展导致一些垂直场景 的安全需求兴起。具体来看，目前市场包括 1）狭义的网络安全(Network Security 而非广义的 Cybersecurity，主 要关注网络传输过程中的安全，典型应用是防火墙)；2）端点安全(主要关注设备、终端层级的数据泄露、网络 攻击风险)；3）应用安全(关注应用级别的风险)；4）Web 安全(主要关注 Web 应用、网站及相关基础设施的安 全)等。可以看出，网安场景日益复杂化，这主要是由于技术进步，如 IoT、4G 等发展带来联网设备大幅增加， 网络防护体系愈发复杂。 CrowdStrike 主要聚焦端点安全，端点安全是网安市场较大子领域。2024 年全球端点安全市场规模为 146.1 亿美元，预计到 2034 年底达到 351.5 亿美元，CAGR 为 9.2%3，CrowdStrike 在全球端点安全市场中占据 领导者地位。端点安全是网络防护的重要起点，目前的网络防护策略是多层次的，最外层是物理安全，确保硬 件设施不受物理破坏，中间层是边界安全(防火墙、入侵检测系统等)，最里层是端点安全(保护网络中的设备不 受威胁)。由于疫情驱动居家办公/远程工作，对应自带设备（BYOD）趋势，这导致企业员工的设备亟待加强 防护，端点安全需求大幅提升。此外，设备/终端是最接近用户和数据的地方。若端点被恶意软件感染，病毒 可进一步渗透到网络的其他部分。因此，加强端点安全可以有效地阻止许多类型的网络攻击，如恶意软件传播、 数据泄露和身份盗用。

网络安全支出在 IT 支出中优先级高且受益其增长的敞口大，预计未来增速较快。安全支出占 IT 预算的比 重约在 5%~10%左右，近年来有逐渐提升的趋势。据 IDC 预测，网络&终端安全 2023-2027 年复合增速高于其 他细分行业，达到 15.4%，仅次于 API 管理（16.1%）。全球安全支出可分为托管安全服务、端点安全、网络 安全应用、身份和数字信任软件、集成服务等。其中托管安全服务占比 19.2%；端点安全占比 13.5% ；网络安 全应用占比 12.6%，身份和数字信任软件占比 9.3%，集成服务占比 8.6%。

网络攻击频率和速度不断增强，且被攻击者付费能力较强。网络攻击频率不断提高，攻击速度不断变快。 据《2024 全球威胁报告》，2023 年 CrowdStrike 观察到云环境入侵增加 75%，互动式入侵活动数量同比增长了 60%，其中下半年相比 2022 年增长 73%。2023 年，网络入侵的平均“突破时间”从 2022 年的 84 分钟减少到 62 分钟。且被攻击者以技术（23%）、电信（15%）、金融（13%）、政府（9%）为主，付费能力强；据 Gartner，2024年云安全市场年增长率将达到 24.7%，居网络安全市场各细分市场增速第一位。预计到 2028 年， 云安全市场的复合年增长率将达到 27%，是整个网络安全市场增速的两倍。

CrowdStrike 目前的策略是通过平台化的完整解决方案、优于同行的产品能力，吸引大型企业客户。客户 数量少于同行，但 ARR 较高，且一直保持稳定增长趋势。展望未来，由于用户粘性较强，预计净保留率稳定 在约 120%左右，主要是通过 AI 和模块更新为大企业客户带来增量价值，提高大客户平均付费，同时将市场下 沉至中小企业，增加客户数量。从客户数量和 ARR两个角度看：1）客户数量方面：①仍有约 50%客户使用传 统 AV方案，潜在替换需求较大。据 CrowdStrike，市场上约有一半客户仍在使用基于传统防病毒解决方案的企 业，单个端点上仍有超 13+个代理109，IT 预算压力/居家办公下，客户对整合性安全产品和轻量级代理解决方案 替换需求较大。此外，CrowdStrike 长期价值对客户获取成本（LTV-to-CAC）的比率约为 9 倍，而排名第二的 SentinelOne 为 5 倍。 ②用户数量快速增长且粘性较强，有望形成客户数和客户价值的良性循环。2017 年以来，公司客户数量 始终保持正增长，1Q24 已增长到 2.9 万个客户。1Q17-3Q21 期间，单季度客户数量同比增速超 80%。目前虽有 下降趋势，但单季度增速仍超 20%。客户订阅的模块数量增长态势良好，1Q24 订阅 5+、6+、7+模块的客户占 比分别达 65%、44%和 28%。同时客户粘性较好，得益于非端点模块的吸引力、交易规模的增大以及客户采用 更多模块，公司的净保留率稳定在约 120%左右，预计将保持在这一水平。随着 Crowdstrike 客户数量和模块采 用率增加，其产品价值相对于新老客户都会提升，反过来吸引更多客户，形成良性的数据飞轮和客户价值飞轮。

③中小企业市场渗透率不高，竞争要点在于易用性和轻量级解决方案的性能优势。由于中小企业更容易被 渗透，且当前网络攻击的针对性和复杂性加强，企业数字化转型趋势深入，中小企业面临的安全威胁并不低。 据 Infrascale，约一半的中小企业遭受过勒索软件攻击，其中 73%的企业已支付赎金110。50%的勒索软件攻击赎 金超过 50,000 美元111。受宏观经济不确定性和通胀压力影响，小企业 IT 预算收紧，但由于安全漏洞潜在损失 较大，网安支出在其 IT 预算结构中仍具有较高的优先级。据 Canalys 测算，2022-2023 年，小企业在网络安全 产品和服务的花费由 207 亿美元同比增长 11%到 229 亿美元，占总市场规模的 10%，其中端点安全市场规模由 34 亿美元同比增长 7%至 37 亿美元112。2023 年 9 月，CrowdStrike 表示其在全球 2000 强企业中的渗透率小于 30%，而在中等规模企业（~5%）、中小企业（＜1%）的渗透率较低，仍有较大提升空间。据 IDC，相较于小 企业，CrowdStrike 在大企业中更具领导地位。

对于 SMBs，Crowdstrike 的策略是通过易用性更强的 Falcon Go/Pro 把握中小用户痛点，同时依靠渠道合 作伙伴打开市场。从需求角度，相较于大型企业，平台化对于中小企业的吸引力更弱，因为中小企业内部资源 有限，缺少时间和精力调整和优化平台、监测和应对复杂网络攻击。对中小企业来说更重要的是产品操作简单 性、功能可靠性和定价的可预测性。中小企业适用 Falcon Go 和 Falcon Pro 两种定价策略。Falcon Pro 包含 NGAV、Device Control、Easy EDR、Threat Intel 四个模块，定价$8.33/device/month。2023 年 11 月，为进一步 打开SMB市场，CrowdStrike 推出Falcon Go，仅包含NGAV和Device Control两个模块，定价$4.99/device/month 或$59.99/yr。主要特色是易于部署和管理，下载安装能够在几秒内完成115，平台管理也仅需简单点击。合作伙 伴方面，Crowdstrike 与 MSSPs 的合作实现三位数的增长，与 Dell，Pax8 等合作伙伴取得一定突破。通过与专 注于中小企业（SMBs）的合作伙伴合作，CrowdStrike 能够触及那些难以大规模直接接触的市场。这使得公司 能够向下游市场扩展。目前，Falcon Complete 需要至少订阅 250 个单位，实质上是从 1000/500 台量级下沉到 250 台，仍然在中型市场。针对缺乏中型企业安全技术人员问题，Crowdstrike 提供技术团队培训，且易用性强， 微软 Defender 则部署难度高，需要手动提供日志、分析事件、配置和调整，推出轻量级代理方案后解决，但与 Crowdstrike 的轻量级方案性能差异扩大。

从 ARR 角度，受益 CS 非端点模块推出和客户从点产品转移趋势，ARR 有望快速增长。CrowdStrike 的非 端点模块，特别是身份验证、云安全和安全事件及事件管理（SIEM），是实现未来 5 到 6 年内达到 100 亿美元 年度经常性收入（ARR）目标的关键。预计到 2029 年，这三个模块可能占总 ARR 的近一半。因为客户越来越 多地在公司平台上进行标准化，同时从点产品转移。通过渠道合作伙伴的贡献（如 Dell, Pax8）可能会在中长 期内推动市场份额的增长，尤其是在企业级别渗透较少的下游市场。

Falcon Flex按需付费，提高模块化订阅的灵活性，有望加速用户平台化和标准化。客户可根据业务需求使 用 Falcon Flex中的余额直接获取新模块或在不同模块之间迁移，无需额外配置和部署成本，缩短客户采购周期。 用户可以通过长期承诺获得更大折扣，有助于提前锁定客户。Falcon Flex将促进客户在 Falcon 的平台化和标准 化。 政策方面：1）由于微软的安全问题，美国政府或将扩大安全供应商名单。23年 9月 CrowdStrike 在公共部 门的渗透率小于 1%，仍有较大提升空间。随着美国政府在安全领域释放更多预算，CrowdStrike 作为现有市场 领导者和 MS 替代方案有较大机会，尤其是 NG-SIEM 产品。2）美国要求上市公司披露重大网络安全事件117。 该决议于 2023 年 7 月由 SEC 通过，披露内容包括网络安全事件性质、范围、时间、影响等。同时，重大网络 安全事件发生后 4 天需立即报告。这要求上市公司在事后短期内快速进行调查取证并汇总报告 ， 利好 Crowdstrike 事件调查和事件响应模块。事件调查方面，借助 Falcon LogScale，公司可在秒级内完成对 P B 级数 据的检索，通过日志调查回溯安全事件；响应方面，发生异常情况时 Falcon 可一键隔离异常端点，达到及时止 损的目的，相应地也可以一键恢复相关端点。此外，Crowdstrike 具有强大的反 APT能力，追踪 170多个不同的 国家参与者并揭示其国家来源、战略战术、目的意图等，有助于在事后快速锁定对手。

总结来看，Crowdstrike 在 EDR 领域仍有较大空间，以 23年为例，企业级市场~100亿美元，其中一半以上 为传统安全厂商（McAfee、Trend Micro 等），这部分份额将被逐步替代，按照 Crowdstrike 新增份额 30% 假设 计算，Crowdstrike 在企业级市场仍有 1x 左右空间。SMB 市场方面，Crowdstrike 过去涉及不多，Microsoft 主要 通过 Office E3/E5 许可证搭售进行渗透，而 Crowdstrike 目前通过与 Dell、Pax8 等渠道上合作，产品上推出 Falcon Complete 降低部署/维护成本，吸引SMB企业转化。按照 30%赢率及未来 5-7年行业复合增速 10%假设， Crowdstrike 在 EDR 市场仍有 54 亿美元左右的空间。此外，EDR 市场逐步成熟，新兴领域包括云安全、身份验 证、下一代 SIEM 等，Crowdstrike 通过搭售获取现有客户迁移的预算，目标渗透率在 10%以内。