东兴证券：中美云安全产业对比研究，国内云安全公司空间几何

摘要：

从合规和风险管理向数字化转型赋能转型，我国信息安全市场潜力仍巨大。全球企业都在将“数字化转型”作为重要的策略，“数字化转型”发展的加速，也给企业带来了新的安全风险。企业开始关注数字业务安全环境，从“预防”思维转变为更注重快速检测和应对能力的思维模式。全球IT支出的增长速度逐渐放缓，但是信息安全支出占IT支出的比重不断上升。根据Gartner的统计数据，全球信息安全支出占整个IT支出的比例越来越高，2018年达到3.05%。中国2018年的IT支出约2.79万亿元人民币，按全球2018年平均信息安全支出占比计算，我国信息安全市场潜在市场空间在千亿左右。

海外上云成主流，带动云安全服务市场快速发展。在全球市场中，信息安全市场以提供订阅化服务为主，2018年，安全服务市场份额最大，占整个信息安全市场的64.4%，而中国这一比例只有15.6%。海外云计算市场发展较早，云服务渗透率远高于国内，安全订阅服务已经成为主流。根据国务院发展研究中心发布的《中国云计算产业发展白皮书》，2018年，美国企业上云率已经达到85%以上，欧盟企业上云率也在70%左右，而中国各行业企业上云率只有40%左右。2018年全球云安全服务市场规模达到60.2亿美元，相比2017年增长22.6%，增速接近网络安全整体市场的三倍。中国云安全市场目前仍处于起步阶段，云安全市场规模随云计算市场增长而快速崛起。根据赛迪数据，预计2021年中国云安全市场规模将达到115.7亿元，2019-2021年年均增长率为45.2%，行业正快速增长。

云安全市场格局：云服务商占主导，国内网安厂商发展机遇在私有云领域。根据Forrester数据，国外公有云原生平台安全占到70%左右的营收，第三方安全厂商划分剩余市场份额。国内云安全市场中，第三安全厂商的机会更多在私有云领域安全防护。一方面，公有云领域安全市场规模较小，根据Gartner数据，2020年我国公有云服务安全市场预计可达2.67亿美元，占整体云安全市场的比重不到四分之一，而且公有云安全市场基本被云平台服务商占据，第三方安全厂家获利空间有限。另一方面，国内私有云建设仍是主流。根据中国信通院统计，2018年中国云计算整体规模为962.8亿元，其中私有云市场规模525亿元，占比达55%，仍高于公有云市场规模。政府和这些大型企业出于数据安全的担忧，首选的上云方式还是私有云或混合云，私有云和混合云领域的安全防护市场是第三方安全厂商在云安全领域的重要发展机会。

从海外网安龙头发展看国内安全厂商发展之路：私有云安全和安全运营是发展重点。CrowdStrike作为一家云原生安全公司，从一开始就采取平台+模块的方式以SaaS订阅模式向客户提供服务，符合公有云环境下的用户习惯，实现了用户规模和营收的快速增长，也获得了较高的估值水平；Palo Alto的特点在于产品齐全，能为各种用户提供全面的安全防护，公司跟随公有云的快速发展，推出安全订阅产品，实现公有云安全的突破，云安全作为公司安全业务之一起到协同带动作用，发展也相对稳定。

与全球信息安全市场相比，中国信息安全行业正处于快速成长期。传统的信息安全产品难以满足日益变化的复杂的网络空间，中国的信息安全行业必将向国际看齐，由硬件为主转换为服务为主。国内公有云安全市场目前尚小且主要被云服务提供商占据，国内安全产商的机遇在私有云和混合云领域。国内主要的安全厂商都开始全面布局云安全，并将私有云、行业云安全解决方案和安全运营作为发展重点。

推荐公司：云安全解决方案全面，前瞻布局城市安全运营的启明星辰；云计算与信息安全业务协同发展的深信服；专注新兴安全领域，“平台+服务”快速成长的安恒信息。建议关注：山石网科、三六零、绿盟科技等。

1. 信息安全：从合规和风险管理向数字化转型赋能转型

1.1 信息安全服务重要性凸显，为企业数字化转型保驾护航

如今全球企业都在将“数字化转型”作为重要的策略，企业也越来越依赖于将数据转变为有用的信息。但“数字化转型”发展的加速，也给企业带来了新的安全风险。随着安全威胁越来越隐蔽而难以发现，利用传统的被动防御工具已经越来越不能满足客户更高的安全需求。完全依赖厂商的被动式安全策略已经过时。企业必须开始关注数字业务安全环境，从“预防”思维转变为更注重快速检测和应对能力的思维模式。

从20世纪末简单的防火墙、入侵检测产品的部署到当今结构化的信息安全产品部署，随着安全防护要求的不断升级，信息安全技术也在持续演进和变革。下一代安全产品将广泛采用大数据分析、事件响应、AI、认知相关的技术。而信息安全防御体系也将向自动响应、开发安全计划、调查、追查、威胁诱捕等方向侧重，保障企业数字化转型的顺利进行。

从网络安全层面，随着网络攻击行为日趋复杂，防火墙、IDS等传统网络安全设备并不能完全阻挡恶意的网络攻击。构建全面的安全防护体系和制定完善的安全管理策略显得尤为重要，风险评估、安全管理咨询、安全应急响应、安全托管服务的作用越来越受到用户重视。

1.2 信息安全投入占IT总投入比重不断上升

全球IT支出的增长速度逐渐放缓，但是信息安全支出占IT支出的比重不断上升。根据Gartner对2011-2018年全球IT支出及全球信息安全支出的统计数据来看，信息安全支出占整个IT支出的比例越来越高，2018年达到3.05%。

造成这一现象的主要原因有两点：一方面，企业的数字化经济转型中，IT体系从原有的基础支撑，上升到业务驱动力，需要配套的信息安全可以满足业务灵活化、多样化及高用户体验等要求；另一方面，现实存在的网络安全威胁日益复杂，而随着生产生活对于信息技术依赖提升，网络安全事件带来的社会影响和经济损失都日趋显著，信息安全监管随之加强，对企业的的信息安全管理及信息安全技术提出了更高更复杂的要求。

Gartner数据显示,中国2018年的IT支出约2.79万亿元人民币，按全球2018年平均信息安全支出占比计算，我国信息安全市场潜在市场空间在千亿左右。

对比来看，我国信息安全产业还处于快速发展期，发展潜力巨大。根据赛迪顾问《2019中国网络安全发展白皮书》，2018年我国信息安全市场整体规模达到495.2亿元，较2017年增长20.9%，远超全球安全市场整体增长率。以此数据计算2018年我国信息安全支出占IT总支出比重为1.8%，和全球2013年平均水平相当。仍有较大提升空间。网络信息安全作为数字经济发展的必要保障，随着我国数字经济的发展，信息安全投入将持续增加。

2. 云安全需求不断提升

2.1 海外上云成主流，带动安全服务市场快速发展

在全球市场中，网络安全市场以提供订阅化服务为主，2018年，以安全服务市场份额最大，占市场的64.4%；软件市场规模为330.1亿美元，占整体市场的26.2%。而国内信息安全行业仍以安全硬件为主，与全球以安全服务为主的特点有着明显的差异。

究其原因，我们认为上述差异主要由两个因素导致：

一是在中国信息安全支出更多为合规驱动，主动防御意识弱，在预算体制下，安全产品更容易核算；

多年以来合规需求是驱动我国信息安全投入的主要因素。从下游需求来看，政府、电信和金融等涉及国家安全和国民经济命脉的行业是信息安全产品的主要需求对象，总占比超过60%。在这些行业，对于信息安全都有相应的政策要求，企业受到政府监管要求而进行信息安全产品采购，所以满足合规需求成为我国信息安全市场增长的主要驱动力。

二是海外云计算市场发展较早，云服务渗透率远高于国内，安全订阅服务已经成为主流，根据国务院发展研究中心发布的《中国云计算产业发展白皮书》，2018年，美国企业上云率已经达到85%以上，欧盟企业上云率也在70%左右，而中国各行业企业上云率只有40%左右。从国际成熟市场经验来看，云安全行业发展滞后于云计算约3-4年时间。美国云计算行业从2005年开始，随后受技术驱动，2009年后进入快速发展期。伴随着云计算行业发展，云安全服务行业经历了政策催化与技术驱动期，新技术与相应的初创公司不断涌现。中国云安全服务业的发展略晚于美国市场，2014年阿里云等公有云厂商正式上线云安全服务，行业逐渐进入快速发展阶段。

2.2 云安全伴随云计算快速崛起

2.2.1 云时代安全服务需求上升

云安全包含云计算安全与安全云服务两个方面。通俗地讲，云计算安全是保护云计算本身的安全，而安全云服务则是将安全作为云计算的一种服务。

自从2006年亚马逊AWS推出EC2之后，云计算的破坏性力量改变了整个科技行业。随后，国外的谷歌GCP、微软Azure和国内的阿里云，进一步带动了整个云市场的发展。IaaS、PaaS、SaaS的云计算分层结构被大家所熟知，公有云、私有云、混合云在每个单位云的建设中被反复提及。

2009年开始，苹果，微软，亚马逊，奥多比（Adobe），威睿（VMware）等公司开始在云中提供服务和应用程序，还为访问这些应用程序的用户提供云存储服务。通常由于应用程序本身在云上运行，因此无需在用户的终端系统上安装或存储任何内容。

这一转变给互联网管理员和安全专家们带来了空前挑战。随着应用程序，数据，用户信息和公司敏感数据越来越多地存储在云中，而不是公司网络中，经典的辐射式中心安全模型在云优先选择的压力下开始崩溃。随后，安全软件和硬件供应商开始了同样的转变。

到了2014年，云安全服务的提供商开始提供域名系统（DNS）保护，电子邮件安全，内容过滤和其他各种工具，从而减少了对设备硬件的依赖性，降低了回程成本，帮助使用多个传统信息安全厂商的公司进行整合并把他们迁移到云端。

到了2017年，Zscaler和OpenDNS之类的公司发布了功能全面的基于云的下一代防火墙（NGFW）服务，大大降低了成本与非云设备硬件的功能相媲美甚至超越了非云设备硬件的功能。公司不仅可以离开设备传送带，而且还可能淘汰所有安全设备。拥有多个办公室的公司正在回程传输到中心办公室的流量，通常每年仅在电信成本方面就节省了成千上万的费用，因为他们不再需要回头穿过中心办公室。

云计算的进步带动无服务器计算发展，也引发了新的网络信息安全问题。攻击者更容易借无服务器计算隐藏活动踪迹制造网络威胁。这些都成为云计算发展过程中带来的网络信息安全威胁，同时也为云安全产品与服务的研发与部署提供了广阔的应用场景。公有云的多租户共享场景将导致可信边界的弱化，威胁的增加，因此构建基于云的纵深防护体系成为应对公有云安全威胁的重要手段。私有云、行业云领域，众多厂商积极在云安全资源池、云工作负载保护平台等重点领域加速布局。

云是一个复杂的系统，云安全的需求散布在云的各个层次、各个环节。我们可以从角色划分、系统架构、服务层次和部署方式四个角度来呈现云安全需求的面貌。

近年来，云安全市场表现出了两大趋势特征：大规模DDoS攻击事件的升级和联网设备数量激增导致安全威胁无孔不入。一是大流量DDoS攻击成为新常态。2019年2月，GitHub遭遇了带宽1.35T的DDoS攻击。同年11月，网宿科技宣布其云安全平台防御了一起攻击流量为1.02T的DDoS攻击事件。二是联网设备数量激增及入口碎片化，让安全威胁变得无处不在。跟据Gartner的数据，联网设备数量到2020年底将由2017年的84亿部增至266亿部，涵盖了家居设备、安防、智能汽车、医疗设备等各个场景，这必然催生出更多样化、更复杂的云安全需求。这意味着安全态势发生了转变，仅靠传统的集中式、本地化的防护远远不够了，如防火墙、杀毒、WAF、漏洞评估等以防御为主的安全软硬件方案，已经难以适应物联网、云计算架构下的安全需求了。

根据Gartner统计，2018年全球云安全服务市场规模达到60.2亿美元，相比2017年增长22.6%，增速接近网络安全市场的三倍。云技术作为未来的主流技术趋势，以云技术为依托的云安全服务是未来发展方向，未来云安全市场将持续扩大，云抗DDoS、云WAF、云身份管理、云基础架构安全、云主机安全等云安全服务细分市场将迎来高速发展时期，赛迪预计，到2021年全球云安全服务市场规模将达到111.5亿美元，2019-2021年年均增长率为22.8%。

中国云安全市场目前仍处于起步阶段，整体的市场规模随着云计算市场规模的增长而快速崛起。根据赛迪顾问数据，中国云安全整体的市场规模会随云计算市场增长而快速崛起。预计到2021年中国云安全服务市场规模将达到115.7亿元，2019-2021年年均增长率为45.2%，行业正快速增长。

3. 云安全市场格局：云服务商占主导，国内网安厂商发展机遇在私有云领域

云安全产品可以分为两类，一类是云计算提供方直接提供的安全产品，另一类是第三方安全厂商提供的安全产品。就公有云来说，基础架构安全一般由云厂商负责，而工作负载安全则由云租户负责。人们常常认为私有云更安全，是因为工作负载通常是在用户自己的防火墙后面运行，因此部署的私有云资源越多，需要购买或租借的硬件就越多，运维成本也就越高。在混合云中，云租户可以根据具体情况，自行选择是要承担横向扩展所产生的运维开支，还是要承担纵向扩展所产生的资本开支。

总的来说，云厂商的安全需求可以概括为平台级的安全防护、等保合规和安全运营。云租户的安全需求则是自服务的安全防护，创建防火墙，边界防御等。国内外的云服务供应商，如阿里云、腾讯云和AWS等都提出了责任共担模型来明确与租户之间的安全责任划分。

以腾讯云为例，腾讯云基于信息资产和产品功能建立了如下的信息安全责任共担模型，其中定义浅蓝色部分由腾讯云负责，浅灰色部分为客户负责，浅绿部分则表示腾讯云和客户将共同承担相应的责任。

IaaS架构模型中：腾讯云为客户提供的是基础云产品，类型主要包括云主机、云存储、负载均衡、物理服务器、CDN等。

腾讯云对虚拟化控制层、数据库管理系统、磁盘阵列网络等云产品底层系统提供包括漏洞发现、补丁修复、升级更新、审计监控等安全管理措施；此外，腾讯云提供基础的外部DDoS防护能力，以保护处于云计算平台网络中的各类资源不受来自互联网的拒绝服务攻击影响；

客户需对已购买的云主机的操作系统、数据库实例文件、云主机间的网络通信、以及由内向外的网络通信等加以安全控制。客户有责任维护并管理已购买的云产品和内部数据，类似如因客户管理不当造成的云主机主动或被动向外发起恶意攻击（如大流量DDoS攻击、网络嗅探、病毒木马攻击等）的情况则不在腾讯云的责任范围。

PaaS架构模型中：腾讯云为客户提供的是平台类云产品，类型主要包括云数据库、云缓存、音视频云通信等。应用安全和访问控制管理由客户与腾讯云共同承担。

SaaS架构模型中：腾讯云为客户提供的是应用类云产品，类型主要包括云通信、云搜、优图人脸识别等。访问控制管理和终端安全由客户与腾讯云共同承担

基于阿里云的客户应用，其安全责任由双方共同承担：阿里云要保障云平台自身安全并提供安全产品和能力给云上客户；客户负责基于阿里云服务构建的应用系统的安全。

云服务提供商根据责任共担模型划分安全责任，提供履行自身责任的安全产品，保证基础设施安全并提供标准化安全服务。云服务提供商提供安全产品的目的不是全面保障客户的安全，而是让客户使用云的时候能够安全，简单来说就是如何安全的使用云计算。以AWS为例，其平台提供的原生的安全产品包括五个方面：身份访问控制类、检测式控制类、基础设施保护类、数据保护类及合规类型。

拿行业排名前两位的亚马逊AWS和微软Azure来说，这两家云厂商在云安全领域所能提供的产品和服务如下表所示：

从收入层面来看，根据Forrester数据，国外公有云原生平台安全占到70%左右的营收，第三方安全厂商划分剩余市场份额。AWS对于云安全责任共担模型的理解以及安全生态的重视，形成了目前的一系列合作伙伴产品在market place上售卖。AWS友好的安全类型的API，让很多云安全厂商可以很好的利用这些API来开发基于AWS的安全产品，这也引导了Azure和GCP的云安全建设思路，国外的很多云安全公司都在利用这些平台的API来开发自己的安全产品，在基础数据收集以及展示方面能极大的减少开发的复杂度。

而在国内，公有云领域安全市场基本被云平台服务商占据，第三安全厂商的机会更多在私有云领域安全防护，主要原因有两点：

一是国内阿里云、腾讯云、华为云等云平台服务提供商倾向于自己建立云安全服务体系，提供标准化、基础性产品，包括了从DDoS 高防、主机安全、Web 应用防火墙、网站威胁扫描系统、加密服务、态势感知到安全专家服务等20余项。
二是公有云用户对于安全服务付费意愿低。国内公有云用户主要是B端中小型客户，对属于成本项的信息安全支出付费意愿较低，同时，云安全责任共担模型没有地传导到消费者端，用户更多采用平台自带的免费安全防护产品。另外，云平台服务提供商自己也提供付费高级安全防护服务，用户即使有较高防护需求也更倾向于云服务商提供的高级防护需求。

出现上述差异情况的原因跟云计算发展的阶段和模式有关，国外已经成为云计算双头垄断AWS和Azure，且公有云占主导地位，而国内私有云和行业云的占比更高。根据中国信通院统计，2018年中国云计算整体规模为962.8亿元，其中私有云市场规模525亿元，占比达55%，仍高于公有云市场规模。根据Gartner数据，2020年我国公有云服务安全市场预计可达2.67亿美元，占整体云安全市场的比重不到四分之一。

本身技术和投入有关，私有云和混合云采用安全方案的时候，更多的是采用第三方的安全供应商、云平台本身提供的安全产品以及外采服务三种形式混搭的情况，同时第三方安全产品的选择比例高于另外两者。未来，随着我国政府和企业业务创新，同时伴随着数字化、网络化、智能化转型需求的提升，预计政府和大型企业上云趋势将加速发展，到2023年中国政府和大型企业上云率将超过60%。而政府和这些大型企业出于数据安全的担忧，首选的上云方式还是私有云或混合云，所以私有云和混合云领域的安全防护市场是第三方安全厂商在云安全领域的重要发展机会。

4. 从海外网安龙头发展看国内安全厂商发展之路

4.1 CrowdStrike：云安全龙头企业

4.1.1 主要产品：平台+模块化产品，SaaS订阅

CrowdStrike 成立于2011年，公司总部位于美国加州，员工总数2309人（截止2020.4.30），是一家网络安全软件开发商，致力于重塑云时代的安全性。公司于2019年6月12日在纳斯达克上市，公司2020财年（截止2020.01.31）营业收入规模为4.81亿美元，截止2020年6月23日公司市值为225亿美元，是云安全领域龙头公司。

为了应对云时代的网络安全问题，公司构建了CrowdStrike Falcon平台来检测威胁并阻止漏洞，并借助Falcon平台构建了第一个多租户，云原生，开放，智能的安全解决方案。

Falcon平台的核心技术包括易于部署的智能轻量级代理和基于云的动态图数据库。前者可以捕捉和记录高保真终端数据、识别和预防已知恶意软件；后者则跟踪软件行为、寻找恶意活动。Falcon平台基于二者的技术支持，监控客户数据安全，并为其提供修复方案。

Falcon平台通过基于SaaS订阅的模型集成了11个云模块，该模型跨越多个大型安全市场，包括终端安全，安全和IT运维（包括漏洞管理），以及威胁情报，即使在当今最复杂的攻击中也可以提供全面的安全保护，公司通过出售平台和云模块来获取订阅收入。根据公司2020财年全年财务报告，公司收入来源于订阅和专业服务两部分，其中订阅收入占总收入的90%以上。

4.1.2 业务模式：直销为主，模块化订阅

公司主要通过直接销售团队销售Falcon平台和云模块，该团队包括现场销售和内部销售专业人员，这些人员按客户的终端数量进行细分。通过细分销售团队，公司可以部署低接触销售模型，以有效地识别潜在客户。

公司也可以利用销售团队来确定对其他云模块的免费试用感兴趣的客户，采用登陆再扩张（land and expand）战略，即当客户部署Falcon平台时，他们可以从任意数量的云模块开始，并且公司可以在已经部署在终端上的同一代理实时激活其他云模块。这种架构还使公司能够直接从网站或AWS Marketplace开始免费提供Falcon Prevent模块的试用版，并且计划将来将此功能扩展到其他模块。一旦客户体验了Falcon平台的优势，他们通常会通过购买更多的终端或模块来扩展其使用范围。

从2017年12月开始，公司开始采用试用付款模式，让潜在客户免费试用Falcon Prevent 15天。2018年5月，公司宣布Falcon Prevent可从AWS Marketplace进行试用和购买。

公司最初是为大型企业提供的解决方案，但是Falcon平台的灵活性和可扩展性使公司能够无缝地为各种规模的客户提供解决方案，从拥有数十万个终端的客户到多达三个终端的客户。公司已将销售重点扩大到包括任何组织。

4.1.3 核心客户：大型组织为主，逐步拓展中小客户

截至2020年4月30日，公司在全球拥有6,261个订阅客户，其中包括《财富》100强公司中的49家，全球前100名公司中的40家以及前20名中的11家主要银行，例如亚马逊、汇丰银行、凯悦酒店等。从历史上看，公司和渠道合作伙伴主要销售给大型组织，但近年来越来越关注于销售给小型组织和中型企业，尤其是通过“试用付款”模式。

4.1.4 订阅收入为主，仍处于快速增长期

CrowdStrike的收入由两部分构成：订阅收入（Subscription revenues）和专业服务和其他收入（Professional servicesrevenues）。其中订阅收入就是SaaS产品的年费及在订阅期内对订阅服务的相关支持和更新的费用，专业服务收入包括包括事件响应和主动服务的收入，公司提供专业服务的安排主要基于时间和材料。

受益于云安全市场的快速发展，公司收入快速增长，2021财年Q1，公司营收为1.78亿美元，同比增长85%。其中订阅收入为1.62亿美元，收入占比为91.1%。随着营业收入的增长，规模效应逐渐显现，公司的毛利率不断提升，期间费用率逐渐下降。

对SaaS公司估值基本采用市销率来估值，市销率高低主要取决于收入增速，公司上市后股价与市销率基本保持相同趋势。公司市销率随着营收增速的放缓有所下降但仍保持较高水平。当前市销率水平在35倍左右。

4.2 Palo Alto Networks：转型云安全，实现增长提速

4.2.1 主要产品：以防火墙为基础，产品+SaaS订阅

Palo Alto Networks（PANW.O）创立于2005年，总部位于美国加利福尼亚州，员工总数7,041人（截止2019.07.31），是一家网络及资讯安全软件提供商，公司自2007年以来开始提供防火墙产品。除企业防火墙物理和虚拟设备外，公司产品还包括EDR软件，威胁情报，SaaS安全性，云遵从性和策略管理工具以及安全流程，自动化和响应（SOAR）等产品。

公司2012年7月在纽交所上市，公司2019财年（截止2019.07.31）实现营收29亿美元，截止2020年6月23日公司市值为221亿美元。公司连续8次成为Gartner防火墙魔力象限领导者，是网络安全领域龙头公司。

Palo Alto Networks公司通过创新平台开创了下一代安全性，该平台从企业安全、云安全、下一代安全三个方面使企业，云服务提供商和政府等能够安全地启用在其网络，终端和云中运行的应用程序和数据，并防止数据泄露，让企业具备一流的检测、调查、自动化和响应能力，保护其系统的安全。

公司开展的业务包括产品，订阅服务、支持服务以及专业服务。

消费者需要购买下一代防火墙平台，并订阅相关功能，这些订阅服务通过两种方式出售。

威胁防护，URL过滤，WildFire，全球保护和DNS安全这些订阅服务作为防火墙平台的可选项出售，与平台绑定；

VM系列，Traps终端保护，自动聚焦，Prisma 系列（包括访问、公共云和SaaS），Cortex 系列（包括XDR和数据池）和Demisto都是按用户，终端或容量出售的，与用户或终端绑定。

4.2.2 大中型客户为主，分销为主要销售模式

公司的终端客户主要是大中型企业，服务提供商和政府机构，客户遍及多个行业，包括教育，能源，金融服务，政府机构，医疗保健，互联网和媒体，制造业，公共部门和电信等。终端客户在各种部署方案中部署公司的平台来实现各种安全功能。典型的部署方案包括企业边界，企业数据中心和分布式企业边界。终端客户部署通常涉及至少一对公司的产品以及一个或多个订阅，具体取决于终端大小，安全需求以及网络复杂性。

公司主要采取两级间接履行模式通过渠道合作伙伴向终端客户出售产品、订阅和支持产品，将公司的产品、订阅和支持产品出售给分销商，然后再将其出售给经销商，最后将其出售给终端客户。公司还通过云平台的应用市场将VM系列虚拟防火墙直接出售给终端客户，采取订阅许可模式，如Amazon的AWS Marketplace，Microsoft的Azure Marketplace和Google 的Cloud Platform Marketplace。

4.2.3 通过收购增加产品和业务线

Palo Alto成立于2005年，在2012成功上市，上市后，公司进行了大量的收购兼并，为公司带了相应的全新产品和业务，为客户提供全面的安全防护。

在2012年公司上市之初，公司就有云安全方面的相关业务，虚拟系统升级为大型企业和服务提供商终端客户提供了虚拟化解决方案，实现了大型数据中心，私有云和公有云安全性基础架构。

在2014财年（公司的会计年度结束日期为7月31日，年份采用财年结束时的年份），公司推出采用虚拟形式的防火墙设备，可用于VMware，Inc.和Citrix Systems，Inc.的虚拟化平台。

在2016财年，公司推出了VM系列订阅，它是下一代防火墙的虚拟外形，它既提供永久许可也提供基于期限的订阅服务。VM系列提供了与硬件设备相同的所有安全功能，但作为软件包可以部署在VMware的ESXi，Microsoft的HyperV和Red Hat KVM虚拟机管理程序上，也可以部署在Amazon的AWS云和Microsoft的Azure云中。

在2017财年，公司推出了全球保护（Global Protect）云服务订阅。这项基于云的订阅于2017年9月发布，使终端客户能够利用下一代安全平台的预防功能来保护远程办公室和移动用户，从而在全球分布的网络和云环境中提供一致的保护，而无需防火墙设备或远程位置中的软件。有了这个产品，终端客户可以使用公司代表他们运行的基于多租户的基于云的安全基础结构，快速，轻松地添加或删除远程位置和用户，并根据需要建立和调整安全策略。

在2018财年，公司推出了Evident订阅，这种种基于云的订阅使终端客户能够持续保护公共云基础架构服务，例如云存储。Evident使终端客户能够持续审计和生成报告，以确保他们能够在公共云中部署应用程序，同时知道云的配置已经满足其系统的安全性和合规性要求。

在2019财年，公司推出了Prisma云安全产品，Prisma公有云订阅（以前是RedLock）确保公有云的安全性和合规性，Prisma Access订阅（以前是GlobalProtect云服务）用于保护用户访问，Prisma SaaS订阅（以前是Aperture）用于保护SaaS应用程序。除此之外，还有用于在公有和私有云中确保在线网络安全的VM系列订阅，用于基于主机的公有云基础设施保护的Traps，用于保护公有和私有云中的容器的Twistlock以及用于保护公有云中的无服务器功能的PureSec。

4.2.4 云安全转型，订阅占比不断上升

Palo Alto的收入由产品收入以及订阅和支持收入构成：产品收入（Product revenue）主要来自设备的销售，还包括软件许可获得的收入；订阅和支持收入（Subscription and support revenue）主要来自订阅和支持产品的销售。

对SaaS公司估值基本采用市销率来估值，市销率高低主要取决于收入增速，公司上市后股价与市销率基本保持相同趋势。公司2013-2015年公司云安全业务发展迅速，带动公司营收快速增长，增速在50%以上，公司市销率也随之上升，2015年7月达到最高，接近20倍PS。之后公司市销率随着营收增速的放缓下降，2017年后公司营收增速逐渐稳定，市盈率也保持较平稳状态。

4.3 CrowdStrike与Palo Alto Networks比较

CrowdStrike成立于2011年，一直专注于云安全；而Palo Alto Networks成立于2005年，一开始专注于防火墙业务，后涉及云安全领域。两家公司在销售模式、收入结构和产品方面存在一定差异。

两家公司虽然市值相近，但是收入规模差距较大，CrowdStrike2020财年（截止2020.1.31）营收4.81亿美元，同比增长92.7%，Palo Alto Networks2019财年（截止2019.7.31）营收29亿美元，同比增长28%，CrowdStrike的高估值主要得益于公司业绩的高增长，作为一家云原生安全公司，CrowdStrike从一开始就采取平台+模块的方式以SaaS订阅模式向客户提供服务，符合公有云环境下的用户习惯，实现了用户规模和营收的快速增长。Palo Alto的特点在于产品齐全，能为各种用户提供全面的安全防护，云安全作为公司安全业务之一起到协同带动作用，发展也相对稳定。

两家公司的共同之处在于跟随公有云的快速发展，推出安全订阅产品，实现公有云安全的突破，从而带动了公司的发展。

5. 国内安全厂商：全面布局云安全，发力私有云安全和安全运营

与全球信息安全市场相比，中国信息安全行业正处于快速成长期。随着中国信息产业和网络技术的发展，传统的信息安全产品难以满足日益变化的复杂的网络空间，中国的信息安全行业必将向国际看齐，由硬件为主转换为服务为主。前面也提及到，国内公有云安全市场目前尚小且主要被云服务提供商占据，国内安全产商的机遇在私有云和混合云领域。

国内主要的安全厂商都开始全面布局云安全，并将私有云、行业云安全解决方案和安全运营作为发展重点。

安全厂商通过建设独立的安全运营中心，以专业安全产品和安全服务提供商的身份，直接深入到用户的业务深层，能够更加便捷地获取一线核心运行的信息和数据，更加精准地部署安全策略、应对各种威胁，充分发挥专业队伍的技术和人才优势。对用户而言，这不仅节省了成本，防护效果也大幅提升。对安全厂商来说，安全运营代表着安全产品服务化（SecaaS/SocaaS）的趋势，也代表着类云业务的利润模式，有利于提高客户粘性。

5.1 启明星辰：云安全解决方案全面，前瞻布局城市安全运营

5.1.1 云安全布局全面，收入取得突破

启明星辰针对云安全风险提供六大云安全能力抵御各类风险与威胁，云安全交付模式满足云平台安全和租户个性化安全，同时满足合规要求。

1）云架构安全即云自身物理环境安全及虚拟环境安全，是云平台整体解决方案基础；

2）云边界安全包括物理网络边界与云内区域边界；

3）云租户安全保障云内业务安全运行，对云上业务提供有效防护；

4）数据安全是云安全的核心，提供数据在云环境下全生命周期安全防护能力；

5）云安全管理平台通过统一安全运营中心管理多地多租户的安全资源，对安全事件和安全风险进行智能分析，感知并发现云内威胁，多维度分析结果，动态关联各项安全能力；

6）云安全服务基于专业化安全分析团队和自动化工具，可为云租户提供云上等保合规咨询、安全检测、安全分析、安全响应及其他应急服务。

公司云安全防护的主要对象为云平台、云租户、云数据和业务系统等。参考等保2.0标准规范基本要求及云计算扩展要求，在云平台出口部署防火墙与抗DDOS等边界防护产品，实现对南北向流量的拒绝服务攻击防护、访问控制、入侵检测、入侵防御、WAF、防病毒、VPN和边界隔离等安全防护；在核心交换机旁部署面向多租户的安全资源池，实现对南北向流量的防护、检测与审计，同时对云租户、云数据和业务系统进行防护。其次通过在核心交换机上设置策略路由，将东西流量牵引到安全资源池进行访问控制和安全防护；在租户间使用虚拟防火墙、虚拟IPS等网元建立完善的软件定义安全防护链以实现租户间东西向的安全防护，同时对租户云安全资源池中的网元进行深度分析与联动，实现整体闭环体系；最后利用云安全管理平台构建全方位防护体系，建立可视化运维及监控响应体系，满足云计算等级保护要求，实现云安全的集中监测、运维管理、安全服务等能力。

公司为中小企业打造的云子可信运用新一代信息技术提高品牌价值，打造云端一体化管理软件，深耕中小企业SecaaS市场。云子可信上线两年多，已累计服务中小企业超过3万家，用户遍布互联网、教育培训、零售快消、医疗健康、房地产、保险等众多行业和领域。

2019年，公司通过对大项目的需求跟进，实现了云安全资源池及关联安全管理平台的销售突破，整体云安全的收入达到1.5亿元。

5.1.2 安全运营发展迅速

公司积极战略布局网络安全新技术，并创新性提出“第三方独立安全运营”新模式，以智慧城市为切入口，前瞻布局城市级安全运营中心。

公司全国安全运营体系已基本形成北京、成都、广州、杭州（东西南北）四大业务支撑中心及30余个城市运营中心，并已形成成熟的标准化运营体系，未来在持续扩大已有运营中心业务的基础上，将继续向其他二三级城市拓展，2020年目标力争累计达到80个城市的覆盖。

启明星辰北斗安全运营中心面向全国，针对智慧城市建设中的城市云、数据中心、关键信息基础设施及其他政府机构和中小企业提供安全运营中心建设及安全运营服务。公司2019年安全运营与服务收入达8亿元，约占公司总收入20%，同比增长200%，具备较好成长性和发展前景。

5.2 深信服：云计算与信息安全业务协同发展

公司在发展信息安全业务的基础上，从2012年开始布局云计算业务，致力于为各行业用户的数字化转型构筑稳固基石和底座，已初步形成包括桌面云、超融合、软件定义存储、私有云、专属云、混合云的业务布局。公司云计算业务主要集中于私有云领域，和安全业务下游的客户具有一致性，两块业务有较强的协同效应。

针对云平台安全合规风险、云用户安全需求难以满足以及云平台缺乏安全全局监测和快速响应能力等云安全挑战，深信服提出了相应的云安全解决方案，从四个方面构筑云安全防护能力。

落实平台自身安全合规：遵照等保2.0要求，基于云平台业务特性，从云平台边界安全防护、宿主机及虚拟化安全和云管理平台安全出发，在满足合规的基础上，对云平台提供持续保护。
为用户/业务提供安全能力：为云用户业务系统提供池化的安全资源服务，安全资源池、硬件设备和安全云服务，供用户自行选用和配置安全策略。针对PaaS/SaaS等云服务模式，提供基于池化安全资源服务和应用自身的访问控制策略和安全加固措施。
统一管理，实现安全全局监测：在安全运营中心构建网络安全感知平台，帮助云平台运营者实现对云内所有安全事件的全局监测和统一管理。在各业务区部署流量检测探针，实现对云内资产日志及网络流量的统一采集与分析。
构建安全事件快速响应能力：基于网络安全感知平台和联动机制，实现针对安全事件的快速响应，包括可疑IP一键封锁，可疑文件一键隔离/查杀，以及安全服务专家进一步的分析定位，快速找出威胁根源，提供修复和加固建议。

5.3 安恒信息：专注新兴安全领域，“平台+服务”迈向云时代

安恒信息围绕着云计算、大数据及物联网为代表的新一代信息技术，形成了以“新场景”及“新服务”为方向的专业安全平台产品和服务体系。

公司新兴安全业务采取“平台+服务”的模式，平台产品包括云安全平台、大数据安全平台、物联网安全平台等，公司平台产品的收入快速增长，有望催生出安全服务的巨大空间。公司自2014年开始陆续推出云安全、大数据安全、态势感知和智慧城市安全等新兴安全领域相关产品和解决方案。2019年公司网络信息安全平台和服务收入占比已经达到57%，安全平台产品实现收入2.72亿元，同比增长91.15%，其中云安全平台产品同比增长176.25%。

5.3.1 安恒信息云安全产品与模式

安恒云安全综合解决方案，涵盖公有云、私有云、混合云等不同环境。整体安全建设以云监测、云防御、云审计、云服务为闭环解决思路，全面覆盖云平台网络、主机、计算、存储、业务和管理多个层次，提供给用户一套合法合规、防护有效、简单易用、灵活扩展的云安全建设方案。平台采用了云端实时网站安全监测与识别技术、云端DDOS防护技术、云端Web防护技术以及基于机器学习的攻击识别和防护技术。

在私有云领域，公司以天池云安全管理平台作为主要产品，帮助用户构建一个统一管理、弹性扩容、按需分配、安全能力完善的云安全资源池，为用户提供一站式的云安全综合解决方案。

在公有云领域，公司的云安全产品已经上线包括阿里云、腾讯云、华为云、AWS 亚马逊、中国电信天翼云、中国联通沃云等在内的十多家国内外主流公有云平台。

5.3.2 安恒信息安全运营产品与模式

安恒信息安全平台运营服务基于AICSO安全运营平台，剪裁整合包括信息安全管理体系ISMS、应急响应体系、风险管理体系在内的多个管理体系，融合了传统信息安全服务业务，等级保护要求，实现了安全服务线下能力线上化、专家与产品协作分析数据化、信息安全运营治理工作流程可视化。

AICSO安全运营平台是以数据和情报驱动，基于自适应安全架构进行环境和态势感知，通过技术、流程、人有机结合完成安全运营，将信息安全服务做到自动化感知、智能分析、应急响应、辅助决策，提供一站式解决方案。并提供云上SaaS服务、异地联合运营（SaaS+EPaaS）、本部署运营服务（IaaS+EPaaS+SaaS）三种服务模式。

6. 投资建议

推荐公司：云安全解决方案全面，前瞻布局城市安全运营的启明星辰；云计算与信息安全业务协同发展的深信服；专注新兴安全领域，“平台+服务”快速成长的安恒信息。建议关注：山石网科、三六零、绿盟科技等。

7. 风险提示