Cybersecurity：网络安全需求正在加速，但Bernstein认为板块估值已大致充分

概览

本行业更新探讨强劲的网络安全需求、AI相关支出和Flex许可模式能否支撑板块的大幅重估。Bernstein认可基本面依然有利并上调估值倍数，但认为多数覆盖股票已反映难以持续的增长预期；Zscaler是主要例外。

核心观点

Bernstein表示，其在2026年初提出的看好网络安全观点已得到有力验证：其CISO和CIO调查显示，AI相关需求信号持续改善；市场对AI实验室推出网络安全产品的担忧有所消退；而网络安全风险可能拖慢AI实验室进展的担忧，又强化了需求支撑。自2026年初以来，多只覆盖网络安全股上涨约100%或更多，投资者拥挤度亦显著提高。该机构认为需求背景真实，但核心结论是板块整体估值已充分。 Flex合同的普及是额外增长的重要来源。这类合同实质上是供应商的站点许可证，允许客户在约定价值内使用产品和服务。Bernstein认为，这能减轻客户对初始产品选择错误的担忧、加快初始销售，并使客户发现额外需求后更容易进行追加销售或交叉销售。CrowdStrike是最明确的案例：Bernstein估计，再Flex追加销售在最近一个季度带来了约$30-40MM额外增量ARR，超过单凭商业能力所能实现的水平。不过，初始Flex销售仍需要正常的销售投入，未来再Flex机会则受制于已安装客户基础。 报告警告，网络安全不同于消费型基础设施软件。SSE/SASE、端点安全、可观测性以及通信/电子邮件安全等网络安全重点方向，通常随员工或端点数量扩张，因此较超大规模计算或数据库存在更自然的增长上限。网络安全和云安全与消费增长联系更紧密，但即使是CrowdStrike，Bernstein估计其经标准化调整后的“真实”新增ARR增长也只是20%以上的高位区间。由于CrowdStrike目前约100%的新增ARR均来自Flex，且再Flex交易开始进入同比基数期，Bernstein认为其增长可能渐近于20%以上的高位区间，而非当前估值倍数似乎隐含的40%以上。 因此，估值是报告的主要矛盾。Bernstein发现，未来十二个月Rule of 40与EV/Sales倍数高度相关，但指出即使其自身的Rule of 40预测通常高于一致预期，多数覆盖标的现在仍接近或高于回归推导的公允价值。其收入模型持续显著高于卖方预期，但除Zscaler外仍无法支持相对于当前估值的上行空间。尽管如此，该机构仍上调板块回归和目标价倍数，因为需求真实、Flex扩大了增长空间，且市场给予网络安全的估值溢价短期内未必消退。报告承认，修订后的目标价高于其通常相对增长DCF的25-35%溢价，并预计该溢价最终会收敛，但可能需要一年以上。 修订后的目标价框架采用P/未来十二个月销售额与未变DCF各占50%的组合。CrowdStrike目标价为$132，对应20x销售额倍数，高于此前17x；Palo Alto Networks为$351，对应21x，高于14x；Okta为$174，对应11x，高于8x；Fortinet为$145，对应15x，高于9x；Cloudflare为$181，对应17x，高于16x；SentinelOne为$25，对应7x，高于5.5x；Zscaler为$298，对应14x，高于9x。各公司的DCF假设维持不变，WACC为10%-12%，永续增长率为3%。Palo Alto是唯一调整模型的公司，调整了软件防火墙收入在Product、Subscription和NGS ARR之间的分配，令每季度收入增加数百万美元。 Bernstein将Palo Alto Networks、Okta和SentinelOne下调至Market-Perform，原因是其股价接近公允价值，上行与下行较为均衡。Okta可能因其在AI代理基础设施中的作用带来超出模型的上行惊喜，但报告认为AI代理规模化的时点、定价模式和需求规模仍不明确。SentinelOne被视为最具战略收购吸引力的标的，潜在买方可能包括AI实验室、超大规模云厂商或网络安全同行；其通常估计约30%的收购溢价相对于增长DCF仍低于更新后的$25目标价。CrowdStrike被描述为技术和商业执行均出色，但其股票交易水平显著高于板块回归；若其发生重估且资金仍留在网络安全板块，Bernstein认为Palo Alto可能因规模、AI敞口和NGS ARR表现而受益于资金流入。 Zscaler是唯一具有实质上行空间的覆盖标的，并维持Outperform。Bernstein将其增速放缓主要归因于一次有意的销售转型：从交易型、机会驱动销售转向关系型销售，以平衡新增客户与追加销售、交叉销售。该三年转型始于FY25的人才调整，随后在FY26验证扩张销售模式；当年净留存率维持在115%，且销售管道支持FY27继续维持115%。FY27的重点是扩大新增销售能力。FQ4'26中新增贡献已停止下滑，Bernstein预计其至少将企稳，这受销售负责人的过往业绩和AI风险带动的SSE现代化优先级支持。报告指出Cloudflare带来竞争压力，但认为Palo Alto、Microsoft和Fortinet主要面向不同客户群体，并看到大型企业从传统Web安全和VPN迁移至SSE/SASE的显著机会。

分析框架

Bernstein综合CISO和CIO需求调查信号、公司经营模型、Flex合同机制观察以及横截面估值回归。其将EV/Sales倍数与未来十二个月Rule of 40预测进行比较，再将修订后的P/NTM Sales倍数与未变的增长DCF结果结合，以设定目标价并评估相对估值。

方法论与常识提炼

• 估值方法DCF 现金流折现

  增长DCF估值

  报告保留各公司DCF假设，包括10%-12%的WACC和3%的永续增长率，并将每家公司的DCF结果与销售额倍数估值各按50%权重结合。

• 估值方法PS 估值

  P/NTM Sales估值

  Bernstein利用板块回归上调未来十二个月销售额倍数，以反映市场对网络安全增长的更高估值。

• 量化/因子/组合理论

  EV/Sales与NTM Rule of 40回归

  该机构将企业价值/销售额倍数与预测的未来十二个月Rule of 40进行比较，以判断个别网络安全公司的估值是否高于或低于回归隐含水平。

• 行业/产业分析框架供需框架

  网络安全需求与商业增长分析

  报告将AI相关安全支出、产品采用约束、Flex许可和客户规模上限联系起来，分析板块可能的收入增长路径。

标的映射与对比

研报将主题/逻辑映射到具体标的时的结构化摘要（优势、劣势、对比与风险）。

• Zscaler (ZS)

  Bernstein认为其是唯一仍具实质上行空间的覆盖标的，并维持Outperform。

  优势

  新增增长可能企稳或改善、115%的NRR持续、SSE/SASE现代化机会，以及逐渐成熟的关系型销售转型。

  劣势

  在销售转型期间，新增客户对增长的贡献已变得较小。

  对比

  Cloudflare被视为竞争压力来源；Palo Alto、Microsoft和Fortinet则被认为主要面向不同客户群体。

  风险

  若未能证明增长稳定，投资者信心恢复可能需要数个季度。

• Palo Alto Networks (PANW)

  由于交易估值接近公允价值，被下调至Market-Perform。

  优势

  根据报告，NGS ARR高于CrowdStrike的ARR，且具有类似的AI需求尾风，以及更高的有机新增和同比增长。

  劣势

  重估后估值上行空间有限。

  对比

  Bernstein预计PANW与CrowdStrike的倍数将随时间趋同；若CrowdStrike发生重估，PANW可能承接网络安全板块的资金流。

  风险

  相对资金流支持可能取决于CrowdStrike的估值下调。

• CrowdStrike (CRWD)

  是Flex合同的案例研究对象，但其股票被认为交易在高于板块回归预期的水平。

  优势

  技术和商业执行强劲；再Flex追加销售估计带来约$30-40MM的增量ARR。

  劣势

  即使考虑Flex带来的好处，估值相对于增长潜力仍难以支撑。

  对比

  其交易水平显著高于板块回归预期，而Palo Alto似乎更符合回归水平。

  风险

  增长可能稳定在20%以上的高位区间，而非估值似乎隐含的40%+。

• Okta (OKTA)

  由于估值已达公允价值，被下调至Market-Perform。

  优势

  可能受益于AI代理基础设施带来的超出模型的上行机会。

  劣势

  AI代理相关变现的时点、定价模式及最终需求规模尚不明确。

  风险

  AI代理带来的商业收益可能无法超过Bernstein当前模型。

• SentinelOne (S)

  尽管被视为最具战略收购吸引力的标的，仍被下调至Market-Perform。

  优势

  可能适配AI实验室、超大规模云厂商或网络安全同行。

  劣势

  通常估计的收购溢价低于更新后的$25目标价。

  对比

  报告列举的潜在收购方包括Anthropic、Google和Palo Alto Networks。

  风险

  战略收购潜力并不足以支持高于修订目标价的上行空间。

• Fortinet (FTNT)

  覆盖的网络安全公司，获得更高估值倍数及$145目标价。

  劣势

  报告认为，包括Fortinet在内的多数覆盖标的在重估后整体已处于合理估值。

  对比

  被视为面向与Zscaler主要机会不同的客户群体。

• Cloudflare (NET)

  覆盖的网络安全公司，获得更高估值倍数及$181目标价。

  对比

  被认定为Zscaler竞争压力上升的来源。

关键数据

• 覆盖股票表现~100%+自2026年初以来，多只覆盖网络安全股的涨幅达到这一水平。
• CrowdStrike再Flex增量ARR~$30-40MMBernstein估计，最近一个季度相较仅依靠商业能力所能实现的水平增加的增量ARR。
• CrowdStrike标准化新增ARR增长Upper 20%这是Bernstein在调整较低的同比比较基数后的估计。
• Zscaler净留存率115%在FY26全年保持强劲；销售管道预计将支持FY27维持115%。
• Zscaler目标价$298基于14x P/NTM Sales和DCF各占50%的组合；销售额倍数由9x上调。
• Palo Alto Networks目标价$351基于21x P/NTM Sales和DCF各占50%的组合；销售额倍数由14x上调。
• SentinelOne典型收购溢价~30%相对于Bernstein的增长DCF；低于更新后的$25目标价。

影响与含义

报告认为，网络安全领域由AI驱动的需求和改善的商业执行在短期内足以支持更高估值倍数，但不足以证明多数股价中隐含的增长加速。该机构将Zscaler视为主要剩余估值机会，而其他多数覆盖标的在板块重估后已处于合理估值。

风险

• 网络安全增长可能受端点和员工数量相关的支出上限约束，从而限制当前估值所隐含的加速增长。
• Flex合同可降低扩张阻力，但初始销售仍需正常投入，后续再Flex机会也依赖于已安装客户基础。
• 如果新增增长未能企稳，Zscaler的销售转型可能需要数个季度才能恢复投资者信心。
• Okta的AI代理基础设施机会在时点、定价和需求规模上存在不确定性。

后续跟踪

• CISO和CIO调查中网络安全支出及AI相关安全优先级的证据。
• Flex合同的扩张是否持续带来增量ARR，尤其是在CrowdStrike。
• CrowdStrike标准化新增ARR增长能否保持在20%以上的高位区间，或进一步加速。
• Zscaler在FY27重建新增客户增长、同时维持115% NRR的执行情况。
• 网络安全相对Bernstein增长DCF框架的估值溢价能否持续，或最终收敛。