美股研究 | CRWD: 追查“通俄门”事件的SaaS云安全服务商

文 | Lucas

2019年美股的IPO市场风起云涌，明星上市企业前赴后继。6月12日，一家名为CrowdStrike的网络安全独角兽登陆纳斯达克，为IPO明星版图再添一颗耀眼新星。这家公司背后的投资机构同样星光熠熠，包括CapitalG（谷歌资本）、Accel Partners、华平投资等众多顶级创投。

最初CrowdStrike将发行价定在19-23美元区间，后来由于市场对该宗IPO需求强劲，公司将发行价区间大幅提高约40%至28-30美元。上市前夜，投资者热情依然持续高涨，发行价最终定于34美元。

发行价的接连上调似乎也预示了上市首秀的超强表现：开盘即报63.5美元，盘中最高达67美元，涨幅高达97%，首日最终收涨71%，市值亦推高至114亿美元，几乎是2018年6月其最后一轮融资的四倍。

究竟CrowdStrike有什么魔力，不仅在私募市场受到顶级投资机构的青睐，在 IPO市场又掀起一股火热高潮，让我们来一探究竟。

CrowdStrike Holdings, Inc.（NASDAQ：CRWD）成立于2011年，总部位于美国加州Sunnyvale，由两位出身安全软件制造商迈克菲（McAfee）的高管创立，其中一位就是公司首席执行官George Kurtz。

CrowdStrike是一家网络安全软件开发商，致力于重塑云时代的安全性。该公司曾参与反制了多次著名的恶意网络攻击，从而名声大噪，其中包括索尼影业遭黑客入侵事件，2016年民主党全国委员会电子邮件泄漏事件（即“特朗普通俄门”事件），以及民主党全国委员会的网络攻击事件。

CrowdStrike相信其正在定义一个名为安全云（Security Cloud）的新类别，其功能可以让网络安全行业脱胎换骨，就像云改变了CRM、人力资源和服务管理行业一样。CrowdStrike建立了Falcon平台来检测威胁并阻止攻击，通过采用一种全新的方法来应对网络安全威胁，该方法利用现代技术（如人工智能，AI，云计算和图形数据库）的众包数据的网络效应。

据媒体报道，Falcon平台是一个基于大数据分析的主动防御平台，可监控企业的数据，侦测零日威胁，并防止定向攻击造成的破坏。平台还可以识别恶意软件，学习攻击者特征，然后形成一套响应措施，提高对方攻击的风险和代价。

通过其Falcon平台，CrowdStrike创建了第一个多租户、云原生智能安全解决方案，能够保护在各种终端（如笔记本电脑，台式机，服务器，虚拟机）上运行的内部部署、虚拟化和基于云的环境中的工作负载机器、物联网或物联网设备。

图表 1：CrowdStrike Falcon平台图例，资料来源：CRWD招股书

主要产品服务

CrowdStrike的Falcon平台由两个紧密集成的专有技术组成：1）易于部署的智能轻量级代理；2）基于云的动态图形数据库（Threat Graph，威胁图）。Falcon平台通过基于SaaS订阅的模型集成了10个云模块，涵盖多个大型安全市场，即使在当今最复杂的攻击中也能提供全面的漏洞保护。

图表 2：CrowdStrike云模块示例,资料来源：企业官网

目前该公司为170多个国家的客户提供端点安全（Endpoint Security），安全威胁情报（Threat Intelligence）和安全和IT运营（Securityand IT Operations）服务。CrowdStrike的单一数据模型和开放式云架构使其和第三方合作伙伴能够快速创新，构建和部署新的云模块，从而为其客户提供大量附加功能。

• 端点安全：利用新一代防病毒、端点检测响应（EDR）和设备控制模块，结合机器学习和高级行为技术，可抵御恶意和无恶意软件攻击，实现端点活动的持续全面可见性和分析，并为管理员提供可见性和跨USB外围设备的精细控制。

• 安全和IT运营：提供解决IT安全、免扫描漏洞管理、一站式响应和补救解决方案的模块，以及由基于Threat Graph的精英安全专家团队提供的威胁搜寻解决方案。

• 安全威胁情报：通过网络威胁研究，恶意软件搜索引擎和恶意软件分析模块，提供自动化帮助，以检查检测到的威胁，进行恶意软件研究并安全地消灭可疑文件。

重要近况更新

CrowdStrike最近推出了CrowdStrike Store，这是第一个用于网络安全的基于云的应用程序“平台即服务”平台（即“PaaS”）。CrowdStrikeStore为其客户引入了一套整合性的安全云生态系统，由CrowdStrike或其他可信赖的合作伙伴提供应用程序。该平台允许客户快速轻松地发现、尝试和购买来自合作伙伴或CrowdStrike的应用程序，而无需部署和管理其他代理和基础架构，也无需经过漫长的销售、集成或实施流程。

CrowdStrike Store允许合作伙伴将新的安全应用程序推向市场并有效地定位客户群。利用Falcon平台，合作伙伴可以开发能够满足其客户需求的应用程序，而不必开发维护他们自己的Agent、投资搭建底层设施或雇用额外的销售人员。

此外，今年早些时候，公司宣布推出CrowdStrike Falcon for Mobile，这是第一款面向移动设备的企业EDR解决方案，预计将在2020财年第二季度开始商业化。Falcon for Mobile使安全团队能够在移动设备上寻找高级威胁，同时增强对恶意访问企业敏感数据活动的可视性，在保护用户隐私的同时而不影响设备性能。Falcon for Mobile利用CrowdStrike的云原生平台和单一代理架构，缩小了不同移动端点和企业防御解决方案之间的差距。

自2011年成立至今，CrowdStrike共进行了6轮融资，总融资金额达到4.81亿美元，主要的领投机构包括全球顶级风投Accel Partners、General Atlantic（泛大西洋投资集团）、CapitalG等。具体融资情况如下所示：

• 2012年2月，A轮融资2600万美元，Accel Partners领投；

• 2013年9月，B轮融资3000万美元，Accel Partners领投，以及创始投资者Warburg Pincus。此外，Accel Partners合伙人Sameer Gandhi加入董事会；

• 2015年7月，C轮融资1亿美元，CapitalG领投，投资者包括Telstra、March Capital Partners、Rackspace、Accel Partners和Warburg Pincus。此时，CrowdStrike客户已包括全球10大公司（按收入计算）中的3家，10家最大金融机构中的5家，前十大医疗保健提供商中的3家以及十大能源公司中的3家；

• 2017年5月，D轮融资1亿美元；同年10月，D轮第二次融资2500万美元。此轮投资由现有投资者Accel Partners领投，CapitalG和Warburg Pincus也参与此轮融资，以及新投资者March Capital Partners和CrowdStrike客户Telstra。这轮融资结束后，CRWD估值超过10亿美元。

• 2018年6月，E轮融资2亿美元，由Accel Partners、General Atlantic、Institutional Venture Partners领投，CapitalG与March Capital Partners继续参投。经过此轮最新融资后，CrowdStrike估值达到约30亿美元。

  
  

图表 3：CrowdStrike历次融资情况，资料来源：Crunchbase

在此次IPO前，截至2019年1月31日，共计458名股东拥有3.87亿股B类流通股（拥有10票投票权）。最大的B类股持有者是Warburg Pincus，在IPO之前拥有30.3％的公司股份；其次是 Accel，拥有20.3％的股份; CapitalG，拥有11.2％; 和CrowdStrike首席执行官Kurtz，拥有10.5％的股份。

图表 4：CrowdStrike主要股东，资料来源：CRWD招股书

随着云平台的迅速发展，企业采用云平台和其他网络技术使得它们越来越容易受到各种网络攻击，促使企业增加了针对网络安全解决方案的预算拨款。在数字化业务转型过程中，企业更加注重业务流程自动化所带的数字安全和应对一系列安全威胁。企业部门对将安全风险降至最低的需求的不断增长，推动了网络安全市场的高速增长。

在过去五年中，由于网络攻击造成的财务损失增加了62％以上，促使企业采用先进的网络安全解决方案来保护敏感信息免受未经批准的访问。此外，物联网设备的日益普及也促进了网络安全解决方案的采用，因为大多数物联网设备缺乏基本的安全功能，使网络犯罪分子能够利用这些漏洞进行各种非法活动。

根据2019年Global Market Insights的报告，全球网络安全市场预计将由2017的1200亿美元增长至2024年的3000亿美元。在区域分布方面，北美、西欧、亚太维持三足鼎立态势，合计市场份额超过 90%。

以美国、加拿大为主的北美地区2017年产业规模达到408.76亿美元，较2016年增长 9.2%，市场规模全球占比41.29%，牢牢占据全球最大份额；英国、德国、芬兰等16个西欧国家 2017 产业规模合计267.29亿美元，同比增长6.5%，全球占比为27%；日本、澳大利亚、中国、印度等10个亚洲国家2017年产业规模合计225.08亿美元，同比增长9.5%，全球占比22.7%。

图表 5：2016-2021全球各地区网络安全支出增长情况 ，资料来源：Gartner

据招股书，结合CrowdStrike在各细分市场中的经营足迹，该公司认为它在2019年的全球市场机会约为246亿美元，预计到2021年将达到292亿美元。具体市场预测情况如下：

• 企业端点安全。2013年，CrowdStrike推出了Falcon OverWatch和Falcon Insight云模块，并于2017年推出了Falcon Prevent，分别打破了EDR和新一代防病毒市场格局。据招股书，IDC估计该细分市场的全球市场在2019年将达到76亿美元，预计到2021年将达到87亿美元。

• 安全威胁情报。2012年，CrowdStrike发布了现在的Falcon X云模块来应对安全威胁情报市场。据招股书，IDC估计2019年该细分市场的全球市场规模将达到16亿美元，预计到2021年将达到20亿美元。

• 安全和漏洞管理。2017年，CrowdStrike发布了Falcon Spotlight云模块，以应对漏洞管理市场。据招股书，IDC估计2019年该细分市场的全球市场将达到84亿美元，预计到2021年将达到104亿美元。

• IT服务管理软件。2017年，CrowdStrike发布了Falcon Discover云模块，以满足CrowdStrike首个非安全IT资产管理市场的需求。据招股书，IDC估计2019年这一细分市场的全球市场规模将达到26亿美元，预计到2021年将达到31亿美元。

• 托管安全服务。2018年，CrowdStrike发布了Falcon Complete云模块，以满足托管安全服务市场的需求。据招股书，IDC估计2019年这一细分市场的全球市场规模将达到248亿美元，预计到2021年将达到296亿美元。CrowdStrike估计，在2019年这一细分市场的直接可寻址机会约为44亿美元，到2021年将达到51亿美元。

订阅用户群（Subscription Customers）

CrowdStrike最初是专门为大型企业提供网络安全解决方案，但得益于Falcon平台的灵活性和可扩展性，使得任何规模（从三个端点到数十万个端点）的企业都能使用其产品服务，从而极大地扩充了用户延展度。

截至2019年1月31日，CrowdStrike在全球拥有2,516个订阅客户，其中包括财富100强中的44家，全球100强企业中的37家以及前20大银行中的9家。相较于上年同期的1,242个订阅客户，同比增长103%。

图表 6：订阅用户数及同比增长率，资料来源：CRWD招股书

CrowdStrike主要通过直销团队和渠道合作伙伴网络来销售Falcon云平台和云模块。

CrowdStrike最近宣布了与戴尔公司在技术和商业化的战略合作伙伴关系，这将使戴尔的企业客户能够无缝地将Falcon平台添加到他们购买的戴尔硬件中。此外，戴尔和SecureWorks公司已同意通过其全球销售组织将Falcon平台作为首选端点安全产品推向市场。

在客户拓展策略上，CrowdStrike采用低摩擦、试用付款的方法来加强市场拓展力度，公司预计未来将持续扩大中小型企业客户的数量，而对于大型企业客户则主要采取替代或补充其现有传统安全产品的策略。从2017年12月开始，潜在客户可以直接从官方网站向获取新一代防病毒模块Falcon Prevent的15天免费试用。在2018年5月，Falcon Prevent可以从AWS Marketplace进行试用和购买。招股书称，归功于其产品有效性和灵活性，该公司监测到许多试用客户已转化为付费客户。

年度重复性收入（Annual Recurring Revenue, ARR）

ARR是衡量SaaS服务提供商的客户粘性与收入增长健康度的一个重要指标，因为SaaS公司的重复收费模式使得每年在服务收费部分至少与上一年持平，同时随着更多地增值服务推出将会带来更多的额外收入，因此ARR能够衡量SaaS企业的长期收入稳定性。

招股书显示，截至2019财年第四季度，CrowdStrike的ARR达到3.13亿美元，同比增长121%。

图表 7：CrowdStrike ARR增长趋势，资料来源：CRWD招股书

自2017年2月开始，CrowdStrike将平台从单一产品转变为多个SKU云模块的高度集成产品。公司最初推出了五个云安全模块供客户使用，并在2017年2月至2018年10月期间增加了五个额外模块。随着公司不断创新和发布新模块，Falcon集成平台已成为客户安全战略不可或缺的一部分。一部分订阅客户从一个模块开始使用，随着时间推移购买额外的模块，而另一部分客户则立即部署多个模块。下图显示了CrowdStrike在平台战略上取得的成功：截至2019年1月31日，47％的订阅客户采用了四个或更多云模块。

图表 8：使用四个及以上云模块的客户比例图，资料来源：CRWD招股书

客户净留存率（DBNRR）

CrowdStrike的集成云交付模块包括新一代防病毒、EDR、设备控制、托管威胁搜寻、IT安全、漏洞管理和威胁情报等。当客户部署Falcon平台时，他们可以选择任意数量的云模块，也可以在已部署在端点上的同一代理上实时激活其他云模块。一旦客户体验到Falcon平台的优势，通常会通过添加更多端点或购买额外模块来扩展其采用率。

类似于ARR，基于美元的净保留率（Dollar-Based Net Retention Rate, DBNRR）是衡量同一组现有客户群组在12个月期间内订阅量的增长率，意味着已有客户关系的长期价值以及未来潜在的商业化机会。

自2016年开始，CrowdStrike的DBNRR即保持在100%以上，主要归因于现有订阅客户的端点使用扩展，以及交叉销售额外的云模块。截至2017年、2018年与2019年1月31日， DBNRR分别为104%、119%和147%，呈现逐年递增趋势，同时在整个SaaS行业亦处于较高水平，表明客户群粘性的不断增强和产品满意度的提升。

图表 9：CrowdStrike基于美元的客户总/净留存率，资料来源：CRWD招股书

图表 10：2017-2019财年CrowdStrike 利润表概览

营收及盈利能力

CrowdStrike总收入从2017财年的5270万美元增加到2018财年的1.188亿美元，同比增长125％，进而增加到2019财年的2.498亿美元，同比增长110％。整体收入结构由两部分构成，分别为订阅收入和专业服务收入，2019财年两者占总收入比重分别为88%和12%。

图表 11：CrowdStrike营收结构（单位：万美元），资料来源：CRWD招股书

1）订阅收入

订阅收入主要包括Falcon平台的订阅费以及基于云的平台支持的其他云模块。得益于客户群的增长（2019年客户数同比增长103%），订阅收入规模从2017财年的3790万美元增长到2018财年的9260万美元，同比增长144%，进而增长到2019财年的2.194亿美元，同比增长137%。

订阅收入主要取决于订阅客户的数量，每个客户的端点数量以及订阅中包含的云模块的数量。新客户的订阅收入、现有客户的续订订阅收入、向现有客户销售额外端点的订阅收入以及向现有客户销售额外模块的订阅收入分别占2019财年总订阅收入的59%、23%、13%和5%。

CrowdStrike在协议期限内确认订阅收入，通常为一至三年。

盈利能力方面，2017年至2019财年期间，订阅收入的毛利率分别为36%、57%和68%。这一增长是由于公司将更多业务转移到第三方云服务提供商的主机托管数据中心，并重新谈判第三方云服务提供商的合同条款。另一方面，也是由于销售团队推动了更高的订阅利润率以及在优化渠道合作伙伴上的努力。

2）专业服务收入

专业服务收入包括事件响应和主动服务，取证和恶意软件分析以及归因分析服务带来的收入。

专业服务通常与订购Falcon平台分开出售，但客户经常在专业服务结束时额外购买Falcon平台的订阅服务。专业服务收费通常基于按小时费率、固定费用合同、一次性和持续性约定，以及固定型协议。

专业服务收入作为附加增值型服务，从2018财年的2618万美元增长到2019财年的3042万美元，同比增长16%，占总收入比例从22%下降至12%。

专业服务的毛利率从2018财年的44%下降至2019财年的41%，主要原因是专业服务人员的利用率较低。专业服务使用的时长变化较大，可能导致专业服务的毛利率波动。

成本费用分析

图表 12：三项主要费用变化趋势（单位：万美元），资料来源：CRWD招股书

2017财年到2019财年，CrowdStrike的研发投入为3915万美元、5889万美元、8455万美元，占当期营业收入的比例为74.2%、49.6%、33.8%，占比逐年下降。作为较为成熟的SaaS云安全公司，公司早期的研发投入大，一旦平台成型、稳定，研发投入会逐年降低。

一般管理费用分别为1640万美元、3254万美元、4222万美元，占当期营业收入的比例为31.1%、27.4%、16.9%，占比同样逐年下降。

销售费用方面，CrowdStrike在2017财年的销售和营销成本为5370万美元，超过了当年总收入，占总营收比例为101.9%。但在2018财年与2019财年，该项费用占总营收比例分别下降至87.8%和69.1%。