CrowdStrike：客户不断加购，安全平台的护城河有多深？

研究截至 2026-10-14｜财务：FY2027 Q2｜参考价：261.21 美元（10/13 美东收盘）

企业装上终端安全软件之后，为什么还会继续购买同一家公司的身份、云安全和日志分析服务？CrowdStrike 的增长故事，正是从这次追加购买开始。它试图把已经部署的传感器、积累的安全信号和客户关系，变成一个不断扩展的平台。我的判断是，客户加购已经有数据支持，产品价值也不只是传统杀毒软件。但高增长并不自动等于高股东回报：股权激励、系统稳定性和当前估值，都要求单独检验。研究护城河有多深，需要同时看客户为什么留下，以及公司为了让客户留下究竟付出了什么。

一、从电脑上的一个传感器，走向企业安全工作流

终端包括员工电脑、服务器等设备。攻击者进入企业后，往往会留下进程、文件、账户和网络活动方面的信号。CrowdStrike 的 Falcon 平台通过终端传感器与云端分析，帮助客户发现、调查和响应这些行为，结合威胁情报和安全人员服务提高处置能力。

普通用户可以把它理解为一套持续观察企业设备的系统。发现异常只是第一步，还要判断异常是否真实、与哪些账户和系统有关，以及应该隔离设备、撤销权限还是继续调查。企业支付费用，是为了减少成功入侵的风险，也为了让有限的安全人员处理更多任务。

收入主要来自订阅，另外还有专业服务。订阅可以按设备、模块、容量或其他合同约定收费；专业服务包括事件响应和咨询等。客户从一个模块开始，再购买相关能力，公司便有机会在同一客户里扩大收入。这种扩张不要求每年重新安装一套完全独立的系统。

但“一个平台”不是没有成本。云端存储和分析需要基础设施，威胁研究和产品研发需要人员，某些服务还需要专家参与。模块越多，产品兼容性、更新质量和客户支持也越复杂。平台是否具有规模效应，要看新增收入是否需要同比例增加资源，而不能只看模块数量。

示意：终端入口带来安全信号，相关模块复用数据和流程，持续有效的使用才支撑续约与加购。

二、数据与切换成本，如何变成护城河？

安全产品具有经验积累的价值。更多真实环境和威胁样本，可以帮助发现攻击模式；但数据量大不等于自动产生效果。信号质量、标签、模型、专家判断以及产品更新速度，同样决定防护能力。竞争者也在收集大量数据，不能简单推导出某家公司永远无法追赶。

CrowdStrike 的另一项优势，是已经嵌入客户的调查和响应流程。安全团队不仅部署软件，还会建立规则、工单、权限和应急流程。更换供应商意味着重新验证效果、迁移数据并培训人员。只要现有产品持续有效，客户不会轻易为小幅价格差异承担迁移风险。

不过，切换成本也有双向性。它帮助公司维持客户关系，也使客户更关注集中采购的风险。如果同一平台覆盖越来越多关键工作流，一次错误更新或系统故障可能影响更大范围。可靠性因此不是护城河之外的附属条件，而是护城河本身的一部分。

2024 年七月事件说明，安全产品的更新也可能成为企业业务中断的来源。它不等同于一次攻击入侵，但会影响客户对供应商的信任、部署策略和合同谈判。持续的技术改进、更新分批机制和可恢复性，需要与商业增长一起观察。年报风险及事件披露

我不会因为发生过一次重大故障，就断定平台优势全部消失；也不会因为客户后来继续购买，就认为相关风险已经归零。更合理的检验，是公司是否在保持防护效果的同时，持续证明更新、恢复和客户沟通机制能够承受更大的部署规模。

三、客户确实在加购，但 Flex 不能被读成两遍收入

FY2027 第二财季结束时，公司 ARR 约 58.4 亿美元，同比增长约 25%；季度净新增 ARR 约 3.33 亿美元，同比增长约 51%。这说明新增合同和客户扩张在改善，较单纯讨论 AI 安全市场有多大，更接近真实商业进展。第二财季业绩

采用六个、七个和八个以上模块的客户比例，分别约为 51%、35% 和 26%。这些是门槛逐级提高的重叠群体，不能相加成总客户比例。它们说明多模块采用程度，但本身并未告诉我们每个模块的使用强度、价格或独立利润。

Falcon Flex 允许客户以更灵活的方式配置平台采购。公司披露相关账户 ARR 约 22.9 亿美元、同比增长约 101%。这里尤其要避免重复计算：Flex 客户的 ARR 已经包含在公司总体 ARR 中，不能再加一次；账户收入规模也不等于 Flex 机制本身单独创造的新增收入。

这种采购方式有合理价值。客户预先确定预算，随后根据实际需要调整使用组合，可能减少每加一个模块就重新采购的摩擦。对供应商来说，它提高了更多产品进入客户环境的机会；对客户来说，则要确认购买承诺与真实需求匹配，避免为了折扣预买过多。

因此，我会把 Flex 看作推动产品采用的商业机制，而不是凭名称赋予更高估值。后续应该检验的是，合同到期后是否续约、实际使用是否增加、折扣和服务成本如何变化。签约时的预算承诺与多年后可持续的经济利润之间，仍有一段距离。

四、竞争不只发生在终端安全

Microsoft 拥有企业身份、办公软件和云生态，可以从已有合同出发推动安全采购。CrowdStrike 必须证明独立采购能够带来足够的防护或运营收益。客户未必只比较单台设备报价，也会比较已有套餐中能够使用的能力。

Palo Alto Networks 从网络和云安全扩展到安全运营，并通过收购增加身份等能力。双方都希望成为企业整合安全数据和工作流的主要平台。在这种竞争里，日志采集、数据存储、调查效率和整体采购成本都会影响结果。

SentinelOne 等终端厂商也在提供自动化检测与响应能力。对部分客户，部署便利、价格、服务支持和渠道关系，可能比平台覆盖范围更重要。CrowdStrike 的品牌和规模是优势，但不足以让竞争者失去所有生存空间。

上述比较依据公司披露的竞争范围和公开产品定位，不把厂商自己的“领先”表述当成独立测试结论。安全能力会随版本、配置、攻击类型和服务组合变化；没有一个静态排名可以替代持续经营验证。年报业务说明

五、财务已经恢复增长，经济利润还需要继续追上

下表单位为亿美元，均为完整财年；最新季度与半年度在后文单独分析，不把不同长度期间混在增长率里。

来源：公司正式年报及现金流表。自由现金流统一采用经营现金流减设备及适用的资本化内部软件／无形资产现金支出，不含收购现金对价，也不等同于公司调整后指标。CrowdStrike 财年截至一月底，FY2026 截至 2026 年 1 月 31 日；最新 FY2027 Q2 截至 2026 年 7 月 31 日。

三年收入从约 30.56 亿美元增长到约 48.12 亿美元，但 GAAP 经营结果仍为亏损。同期股权激励从约 6.49 亿美元增加到约 10.97 亿美元。平台规模扩大，确实带来更多现金收入；可如果员工薪酬的重要部分持续通过股票支付，普通股东还不能把全部自由现金流视为没有代价的收益。

FY2027 第二财季收入约 14.71 亿美元，去年同期约 11.69 亿美元，增长约 25.8%；GAAP 经营亏损收窄至约 3,323 万美元。订阅收入占比很高，客户加购和新订单支持了增长。最新季度报表

这里有一项不宜漏掉的会计变化。公司从本财年起，把初始获客及追加销售佣金的预计受益期从四年延长到五年。该变化降低第二季度摊销费用约 2,550 万美元，上半年约 5,340 万美元。它影响当期利润的呈现，却不会让此前支付的佣金重新变成现金。季度报表会计政策说明

受益期延长不必然不合理：如果客户关系维持更久，费用与收益匹配可能更准确。但判断利润改善时，应该区分经营效率提升与会计估计变化。第二季度亏损收窄的幅度，不能全部归因于产品利润率改善。

上半年经营现金流约 11.21 亿美元，减设备及资本化内部软件支出约 2.71 亿美元，统一口径自由现金流约 8.50 亿美元。同期股权激励约 6.75 亿美元。两者并列可以帮助理解现金与经济成本的区别，但简单相减也不等于另一个官方利润指标。

六、现金充裕之外，别忽略拆股、股数和收购

截至七月底，公司现金及现金等价物约 50.14 亿美元，本文采用的债务本金约 7.5 亿美元。现金提供了研发、收购和应对事件的弹性，但并不替代经营利润。利息收入可以改善净利润，不能因此认为安全产品本身已经达到相同盈利水平。

公司在七月完成一拆四，拆股调整后的实际流通股约为 10.238 亿股。本文参考价和全部每股估值都使用拆股后口径。如果把拆股前约四分之一的股数，与拆股后的价格放在一起，就会把市值低估约四分之三，这种错误远比小数点差异重要。

季度报表已重述可比每股数字，年报则发表于拆股之前。历史财务表使用总收入、经营利润和现金流，不受拆股影响；当前估值使用季度末实际流通股，而不拿计算每股收益时的期间加权平均股数代替。

股权激励需要一致处理。本文以扣除经常性股权激励后的经营利润率推算经济现金流，不再把同一费用全部加回，也不对同一批未来奖励重复计算稀释。既有未归属奖励、期权以及未来收购发股仍可能让实际股数变化，股数敏感性用来展示这类额外变化的影响。

George Kurtz 带领公司把终端入口扩展为平台。评估管理层，既要看产品创新与客户增长，也要看事故治理、佣金和激励政策、收购回报。优秀管理并不只体现为更高的增长目标，还体现为在出现问题后是否愿意改进流程，以及增长能否转化成每股经济利益。

七、估值：护城河有价值，但价格已经要求很远的未来

按 261.21 美元参考收盘价与最近披露的实际股数计算，股权市值约 2,674.4 亿美元；净现金及其他项目桥接后，企业价值约 2,631.7 亿美元。这是一套报价与最近披露财务相结合的估算，不是当天实时资产负债表。

2026-07-31 资产负债表；股数 10.23845 亿股，已按 7 月一拆四调整。现金不含受限现金；债务用 7.5 亿美元票据本金。

本文用十年企业自由现金流折现。第 1 年为 2026 年 10 月 14 日至 2027 年 10 月 13 日，之后每年顺延十二个月；各年现金流按期末折现。它们是作者经营情景，不是管理层指引或实际结果。前五年逐年设置增长和利润率，第六至十年收入增速逐步降到永续增速，经营利润率保持第五年水平。

这里的经营利润率已扣除经常性股权激励；亏损年度不提前计入税收收益，盈利年度按 21% 正常化税率计算。净再投资包括资本支出减折旧，以及营运资本增加。租赁运行费用已经留在经营成本中。现金流未扣利息，因此用企业资本成本 WACC 折现，最后才加现金、减债务，再除以股数。

基准情景前五年推导，单位为亿美元：

三个情景第 2—5 年的收入增速依次为：谨慎 20.0%、18.0%、16.0%、14.0%；基准 28.0%、26.0%、24.0%、20.0%；乐观 36.0%、32.0%、28.0%、25.0%。前五年净再投资分别按收入的 3.5%、3.0%、2.5% 计算，对应谨慎、基准、乐观。第六至十年，净再投资占收入比例逐渐过渡到维持终值增长所需水平，终值现金流按“第十年税后经营利润 ×（1＋永续增速）×（1－永续增速 / 资本回报率）”计算，再除以折现率与永续增速之差。

基准情景终值现值约占企业价值的 66%，说明结果高度依赖长期盈利与资本回报。保持经营路径不变，折现率上下移动一个百分点、永续增速上下移动半个百分点，模型每股价值范围约为 38.4—58.0 美元。额外股数增加 3% 或 10% 时，基准每股价值分别约为 44.8 和 41.9 美元；这用于观察既有奖励、融资等额外股份变化，不重复扣除已保留为费用的未来经常性激励。

反过来，从市场价格出发，若前五年基准现金流兑现、仍按 10.0% 的企业资本成本折现，五年末需要的企业价值约相当于当年收入的 25.9 倍、经营利润的 95.9 倍。这不是预测市场届时给什么倍数，而是把今天的价格要求展开给读者看。

完整估值输入、十年现金流和敏感性可下载核对：财务与假设数据、逐年模型结果、Python 模型与输入文件。预测属于作者情景，具体口径与研究限制见本章。

另用本批已核对的同行做粗略检查。下表是参考价市值 / 最近完整财年收入，并非远期倍数；各公司财年结束日不同，收购范围和业务结构也不同，不能直接按倍数高低排列投资优劣。

来源：各公司正式年报、最新披露股数及同一报价日历史行情；逐项输入见研究底稿。这项比较只提醒我们，市场给增长、利润质量和资本效率的价格不同，不能替代企业自身的现金流估值。

公司给出的 FY2027 收入指引约为 59.91 亿至 60.11 亿美元，ARR 指引约为 66.03 亿至 66.12 亿美元。本文第一年预测覆盖研究时点起未来十二个月，与截至次年一月底的完整财年并非同一期间。模型假设高于已确认历史数据的部分，都是作者情景，不伪装成公司承诺。第二财季展望

基准情景要求公司在保持较快增长的同时，逐步形成较高的经济经营利润率。这里保留经常性股权激励，因此不能把该利润率与公司剔除股权激励后的非 GAAP 利润率直接对照。两种数字回答不同问题：前者关心股东承担全部报酬成本之后的收益，后者便于管理层观察部分经营趋势。

当前参考价明显高于三种情景的测算结果，差距反映市场对增长期限和未来利润的要求很高。这个结论不依赖猜测下一周涨跌，也不意味着公司业务会变差。它说明：即使平台持续扩张，现有价格仍可能要求一个相当强的长期结果。

在这样的定价下，最容易出现的误区，是把每一个季度的良好业绩都当成价格已经便宜的证明。业绩可以很好，同时低于股价原本要求的水平；业务也可以暂时承压，但只要长期回报改善，价值并不一定等比例受损。研究必须把兑现情况与原有价格要求放在一起。

八、最强反证：Falcon 可能成为安全团队的默认工作平台

偏谨慎估值面临的最强反证，是公司可能从终端软件进一步变成安全团队每天工作的主要平台。客户如果在同一个系统完成检测、调查、响应、身份和云安全管理，替换成本与追加采购机会都可能上升。新增模块还可以利用已有客户关系，提高销售效率。

AI 自动化也可能把部分重复调查交给系统处理，提高客户在预算有限时的防护能力。如果客户因此减少其他工具和人工成本，CrowdStrike 可以获得更大的采购份额。公司的长期可服务市场，也可能超过今天按单一终端数量推算的规模。

但这条路径需要产品效果和商业变现同时成立。更多告警或更多 AI 功能，并不自动带来更多收费。客户可能要求功能包含在现有合同内；自动化产生错误判断，也可能增加复核工作。估值上调需要看到收入、留存、毛利和销售效率的共同改善。

另一方面，平台越重要，可靠性事件的代价越高。重大故障、供应链漏洞或服务不可用，可能同时带来赔偿、折扣、诉讼和新增合同延迟。这些影响不会总在同一季度体现。不能因为短期 ARR 仍然增长，就把尚未解决的责任和客户信任问题全部抹去。

九、未来六至十八个月，用什么判断护城河在变深？

Flex 客户 ARR、总 ARR 和模块采用比例应当分别记录，不相加、不互相替代。更新每股模型时，也要继续使用拆股后股数。可靠性方面则以实际事件和公司披露为依据，不把“没有新闻”当成风险已经消失的证明。

十、我的结论：加购证明产品价值，每股利润决定投资价值

CrowdStrike 的平台扩张有真实基础。客户购买更多模块、合同规模增长，说明终端入口能够延伸到更广的安全需求。它的护城河来自有效防护、数据积累、工作流和客户信任共同形成的关系，而不是一个单独的技术口号。

我保留的审慎，主要针对股东需要支付的价格与成本。高股权激励、利润尚在转化阶段，以及高估值对长期增长的要求，使当前价格的容错空间较小。

后续真正能改变估值判断的，是平台增长延续，同时经常性股权成本占比下降、可靠性得到持续验证、每股经济利润稳定提高。客户愿意不断加购，是护城河的证据；股东能否以合适价格分享这些收益，则是下一道问题。

主要资料：正式年报、最新季度财务、最新业绩与展望、历史收盘价。预测和实际数据在研究底稿中分别记录。

数据口径

研究日期：2026 年 10 月 14 日｜美股个股投研 · CRWD｜财务截至 FY2027 Q2｜参考股价 261.21 美元，为 10 月 13 日 16:00 美东时间收盘价

本文仅用于个人经验心得分享，不构成任何投资建议。在具体实操之前，请务必结合自己的实际财务情况、投资目标和风险承受能力，独立判断并谨慎决策。