CrowdStrike可用Snowflake承诺额度购买：安全数据不用先搬家

CrowdStrike于2026年8月31日发布的公告 显示，Falcon平台计划进入Snowflake Marketplace，符合条件的客户将可通过Marketplace Capacity Drawdown（MCD）使用预承诺Snowflake容量采购。合作还涉及三条不同的数据路径：从Falcon联邦查询Snowflake原位数据、把选定数据摄取到Falcon Next-Gen SIEM，以及通过Falcon Onum向Snowflake等目的地路由安全遥测。

这仍是面向未来的产品与销售安排，并非已经全面开放的集成。SiliconANGLE对Fal.Con发布内容的报道 交叉确认了Marketplace采购、使用预承诺容量付款及原位联邦查询的方向；相关未发布功能仍在开发，最终范围可能改变。

承诺额度改变付款来源，不等于Falcon免费

MCD的作用，是把Snowflake合同中的部分承诺容量预留给Marketplace采购。企业由此可以把既有Snowflake合同变成Falcon的付款通道，减少另行设置支付方式和启动独立采购流程的需要，但Falcon仍是付费商品。

Snowflake的MCD规则 说明，客户必须拥有或新建承诺容量合同、加入MCD并位于支持区域；只有带有“Pay with MCD”标识的合格商品才能使用这种付款方式，目前合格类型限于data shares、Native Apps和Connected Apps。按月结算、按需账户、通过商业转售商购买容量以及经Google Cloud Marketplace签订的部分合同不受支持，因此Falcon最终采用的listing类型和销售地区仍会影响采购能否落地。

对正在扩展云栈的团队，需要分开核算划入MCD的承诺容量、Falcon商品金额，以及Snowflake现有计算负载仍需使用的容量。调用原有承诺额度只改变资金从哪里扣除，并不会自动扩大总预算；如果Marketplace采购占用较多容量，数据仓库和分析负载可能仍需追加容量。

现有公开信息没有给出Falcon商品价格、折扣、最低期限、退款条件或正式上架日，也没有解释购买后如何区分Falcon商品费用与Snowflake资源消耗。因此，目前能判断的是采购机制，而不是具体节省金额。

“不用先搬家”只适用于联邦搜索

联邦搜索计划允许分析人员从Falcon调查流程查询仍保留在Snowflake中的记录。它省去的是为启动调查而预先整批复制源数据的步骤，并不意味着查询没有跨系统访问、不会消耗计算资源，或者调查结果不会在Falcon侧留下上下文。

另一条路径是把选定的Snowflake数据摄取到Falcon Next-Gen SIEM，再与CrowdStrike遥测和第三方安全数据关联。采用这条路径会形成新的传输、处理与保留范围，不能再用“数据始终原位”概括。

第三条路径方向相反：Falcon Onum计划把安全遥测路由到Snowflake、Falcon Next-Gen SIEM或其他目的地。企业若选择将端点、身份或其他遥测写入Snowflake，数据会主动进入目标环境，并可能占用那里的存储和计算资源。

因此，这项合作不是统一的“零移动”架构。联邦搜索、SIEM摄取和Onum路由分别对应原位读取、数据进入Falcon以及遥测流向Snowflake等目的地，采购资金流也不能与这些数据流混为一谈。

查询费用、权限与保留仍需单独核算

联邦搜索减少了预复制的数据量，却不等于消除查询成本。现有材料尚未说明查询由哪个Snowflake warehouse或其他资源执行、费用记入哪个账户、一次调查能够扫描多少数据，以及是否存在缓存或频率限制；这些变量会影响原位查询与持续摄取之间的成本差异。

权限边界也不会因为调查入口位于Falcon而消失。部署方案仍需明确Falcon使用何种服务身份访问Snowflake，安全团队能够查询哪些数据库、schema、表、行和列，以及角色映射、凭据轮换与审计日志由哪一方维护。身份传递机制、最小权限模板和跨区域访问规则目前尚未披露。

数据保留取决于实际采用的路径。仅进行联邦搜索时，源记录继续受Snowflake中的保留和治理规则约束；把数据摄取到Next-Gen SIEM，或通过Onum把遥测写入Snowflake，则可能形成新的副本或目标数据集，需要分别确定保留期、删除流程、数据驻留与访问审计。

查询结果本身也是尚待厘清的边界。即使源表未被复制，返回字段、告警上下文、调查记录或导出内容仍可能需要存储；在结果缓存和保留机制公开前，不能把“源数据不用先搬家”扩大为“不会产生任何新数据”。

正式上架和可用边界仍待公布

截至目前，能够确认的范围是Falcon计划通过Snowflake Marketplace提供，符合条件的客户将可使用MCD中的预承诺容量采购；联邦搜索、Next-Gen SIEM摄取和Falcon Onum路由均属于公布中的能力方向，尚未被描述为已经普遍可用。

仍待明确的信息包括Marketplace正式上架日、可购买地区、具体Falcon产品组合、价格与合同条款，以及联邦搜索的权限、计费、性能和结果保留规则。在这些细节出现前，这项合作的准确含义是增加一条采购通道，并为部分调查提供免去预复制的查询路径，而不是取消所有数据移动、Snowflake计算费用或治理责任。