Windows

暗号化されていない認証情報を送信しない

Enabled (有効)

セキュリティ上の理由から、デフォルトで、Windows 認証情報を暗号化されていないテキストで送信することはできません。

Do not use NTLMv1 authentication

Enabled (有効)

このオプションが無効になっている場合、理論的には、NTLM バージョン 1 プロトコル経由でドメイン認証情報を使用し、Nessus を誘導して Windows Server へのログインを試みることが可能です。これにより、リモートの攻撃者は Nessus から取得したハッシュを使用できます。このハッシュは解読され、ユーザー名またはパスワードが特定される可能性があります。また、その他のサーバーに直接ログインするために使用される可能性もあります。スキャン時に [Only use NTLMv2] (NTLMv2 のみ使用) 設定を有効にすると、Nessus は強制的に NTLMv2 を使用します。これにより、悪意のある Windows サーバーが NTLM を使用してハッシュを受信することを防ぎます。NTLMv1 は安全なプロトコルではないため、このオプションはデフォルトで有効となっています。

Start the Remote Registry service during the scan

無効

このオプションは、スキャン対象のコンピューターでリモートレジストリサービスが実行されていない場合に、開始するよう Nessus に指示します。Nessus が Windows ローカルチェックプラグインを実行するには、このサービスが実行されている必要があります。

Enable administrative shares during the scan

無効

このオプションにより、Nessus は ADMIN$ および C$ の管理共有にアクセスできます。これは、管理者権限で読み取ることができます。

注意: この設定が適切に機能するようにするには、管理共有を有効にする必要があります。ほとんどのオペレーティングシステムでは、ADMIN$ および C$ がデフォルトで有効になっています。ただし、Windows 10、Windows 11、およびそれ以降の Windows バージョンでは、デフォルトで ADMIN$ が無効になっています。したがって、レジストリエントリへのフルアクセスのためにこの設定を使用することに加えて、Windows 環境の ADMIN$ を手動で有効にする必要があります。詳細については、https://support.microsoft.com/kb/842715/en-us を参照してください。

When enabled, the scanner temporarily enables the Windows Server service, which allows the computer to share files and other devices on a network. The service is disabled after the scan completes.

By default, Windows systems have the Windows Server service enabled, which means you do not need to enable this setting. However, if you disable the Windows Server service in your environment, and want to scan using SMB credentials, you must enable this setting so that the scanner can access files remotely.

CyberArk Host

The IP address or FQDN name for the CyberArk AIM Web Service. This can be the host, or the host with a custom URL added on in a single string.

yes

Port

The port on which the CyberArk API communicates. By default, Tenable uses 443.

yes

AppID

The Application ID associated with the CyberArk API connection.

yes

The file that contains the PEM certificate used to communicate with the CyberArk host.

Note: Customers self-hosting CyberArk CCP on a Windows Server 2022 and above should follow the guidance found in Tenable’s Community post about CyberArk Client Certification Authentication Issue.

no

yes, if private key is applied

yes, if private key is applied

Kerberos Target Authentication

If enabled, Kerberos authentication is used to log in to the specified Linux or Unix target.

no

Key Distribution Center (KDC)

(Required if Kerberos Target Authentication is enabled) This host supplies the session tickets for the user.

yes

KDC Port

The port on which the Kerberos authentication API communicates. By default, Tenable uses 88.

no

KDC Transport

The KDC uses TCP by default in Linux implementations. For UDP, change this option. If you need to change the KDC Transport value, you may also need to change the port as the KDC UDP uses either port 88 or 750 by default, depending on the implementation.

no

Domain

(Required if Kerberos Target Authentication is enabled) The domain to which Kerberos Target Authentication belongs, if applicable.

yes

The method with which your CyberArk API credentials are retrieved. Can be Address, Identifier, Parameters, or Username.

Note: For more information about the Parameters option, refer to the Parameters Options table.

Note: The frequency of queries for Username is one query per target. The frequency of queries for Identifier is one query per chunk. This feature requires all targets have the same identifier.

(If Get credential by is set to Username) The username of the CyberArk user to request a password from.

The CyberArk safe the credential should be retrieved from.

Use SSL

If enabled, the scanner uses SSL through IIS for secure communications. Enable this option if CyberArk is configured to support SSL through IIS.

no

Verify SSL Certificate

If enabled, the scanner validates the SSL certificate. Enable this option if CyberArk is configured to support SSL through IIS and you want to validate the certificate.

no

CyberArk Host

The IP address or FQDN name for the user’s CyberArk Instance.

Note: Customers hosting the PVWA and CCP on separate servers should only use this field for the PVWA host.

yes

Port

The port on which the CyberArk API communicates. By default, Tenable uses 443.

Note: Customers hosting the PVWA and CCP on separate servers should only use this field for the PVWA host.

yes

CCP Host

The IP address or FQDN name for the user’s CyberArk CCP component.

Note: Customers hosting the PVWA and CCP on separate servers should only use this field for the PVWA host.

no

CCP Port

The port on which the CyberArk CCP (AIM Web Service) API communicates. By default, Tenable uses 443.

Note: Customers hosting the PVWA and CCP on separate servers should only use this field for the PVWA host.

no

AppID

The Application ID associated with the CyberArk API connection.

yes

Safe

Users may optionally specify a Safe to gather account information and request passwords.

AIM Web Service Authentication Type

There are two authentication methods established in the feature. IIS Basic Authentication and Certificate Authentication. Certificate Authentication can be either encrypted or unencrypted.

yes

CyberArk PVWA Web UI Login Name

Username to log in to CyberArk web console. This is used to authenticate to the PVWA REST API and gather bulk account information.

yes

CyberArk PVWA Web UI Login Password

Password for the username to log in to CyberArk web console. This is used to authenticate to the PVWA REST API and gather bulk account information.

yes

CyberArk Platform Search String

String used in the PVWA REST API query parameters to gather bulk account information. For example, the user can enter UnixSSH Admin TestSafe, to gather all Windows platform accounts containing a username Admin in a Safe called TestSafe.

Note: This is a non-exact keyword search. A best practice would be to create a custom platform name in CyberArk and enter that value in this field to improve accuracy.

Use SSL

If enabled, the scanner uses SSL through IIS for secure communications. Enable this option if CyberArk is configured to support SSL through IIS.

yes

Verify SSL Certificate

If enabled, the scanner validates the SSL certificate. Enable this option if CyberArk is configured to support SSL through IIS and you want to validate the certificate.

no

Username (ユーザー名)

ターゲットシステムのユーザー名。

CyberArk AIM Service URL

AIM サービスの URL。デフォルトでは、この設定は /AIMWebservice/v1.1/AIM.asmx を使用します。

Central Credential Provider Host

CyberArk Central Credential Provider の IP/DNS アドレス。

Central Credential Provider Port

CyberArk Central Credential Provider がリッスンするポート。

Central Credential Provider Username

CyberArk Central Credential Provider が基本認証を使用するように設定されている場合は、この設定に入力して認証できます。

Central Credential Provider Password

CyberArk Central Credential Provider が基本認証を使用するように設定されている場合は、この設定に入力して認証できます。

Safe

取得する認証情報が格納されていた CyberArk Central Credential Provider サーバー上の金庫。

PolicyId

CyberArk Central Credential Provider から取得する認証情報に割り当てられたポリシー ID です。

Use SSL (SSL の使用)

CyberArk Central Credential Provider が安全な通信のために IIS チェックによって SSL をサポートするように設定されている場合。

Verify SSL Certificate (SSL 証明書の検証)

CyberArk Central Credential Provider が IIS 経由で SSL をサポートするように設定されていて、その証明書を検証する場合は、これを有効にします。自己署名証明書の使用方法については、custom_CA.inc ドキュメントを参照してください。

CyberArk Account Details Name

Delinea Login Name

The username to authenticate to the Delinea server.

yes

Delinea Password

The password to authenticate to the Delinea server. This is associated with the Delinea Login Name you provided.

yes

Delinea Secret Name

The value of the secret on the Delinea server. The secret is labeled Secret Name on the Delinea server.

yes

Delinea Host

The Delinea Secret Server IP address for API requests.

yes

Delinea Port

The Delinea Secret Server Port for API requests. By default, Tenable uses 443.

yes

Checkout Duration

The duration Tenable should check out the password from Delinea. Duration time is in hours and should be longer than the scan time.

yes

Kerberos Target Authentication

If enabled, Kerberos authentication is used to log in to the specified Windows target.

no

Key Distribution Center (KDC)

(Required if Kerberos Target Authentication is enabled) This host supplies the session tickets for the user.

yes

KDC Port

The port on which the Kerberos authentication API communicates. By default, Tenable uses 88.

no

KDC Transport

The KDC uses TCP by default in Linux implementations. For UDP, change this option. If you need to change the KDC Transport value, you may also need to change the port as the KDC UDP uses either port 88 or 750 by default, depending on the implementation.

no

Domain

(Required if Kerberos Target Authentication is enabled) The Kerberos Domain is the authentication domain, usually noted as the domain name of the target.

yes

Use SSL

Enable if the Delinea Secret Server is configured to support SSL.

no

Verify SSL Certificate

If enabled. verifies the SSL Certificate on the Delinea server.

no

Password (パスワード)

なし

他の認証情報メソッドと同様に、これはターゲットシステムのユーザーパスワードです。これは必須の設定です。

Key Distribution Center (KDC) (キー配布センター (KDC))

なし

このホストは、ユーザーのセッションチケットを提供します。これは必須の設定です。

KDC Port

88

この設定を行うと、88 以外のポートで稼働している KDC に Nessus を接続させることができます。

KDC Transport

TCP

KDC Transport の値を変更する必要がある場合、KDC UDP は実装に応じてデフォルトでポート 88 または 750 を使用するため、ポートも変更する必要があります。

Domain (ドメイン)

なし

KDC が管理する Windows ドメイン。これは必須の設定です。

Username (ユーザー名)

ターゲットシステムのユーザー名。

Hash

使用するハッシュ。

Domain (ドメイン)

指定されたユーザーの名前の Windows ドメイン。

Username (ユーザー名)

ターゲットシステムのユーザー名。

Hash

使用するハッシュ。

Domain (ドメイン)

指定されたユーザーの名前の Windows ドメイン。

QiAnXin Host

The IP address or URL for the QiAnXin host.

yes

QiAnXin Port

The port on which the QiAnXin API communicates. By default, Tenable uses 443.

yes

QiAnXin API Client ID

The Client ID for the embedded account application created in QiAnXin PAM.

yes

QiAnXin API Secret ID

yes

no

Username

yes

Host IP

no

Platform

Specify the platform (based on asset type) of the asset containing the account to use. If not specified, a default target is used based on credential type (for example, for Windows credentials, the default is WINDOWS). Possible values:

• ACTIVE_DIRECTORY — Windows Domain Account

• WINDOWS — Windows Local Account

• LINUX — Linux Account

• SQL_SERVER — SQL Server Database

• ORACLE — Oracle Database

• MYSQL — MySQL Database

• DB2 — DB2 Database

• HP_UNIX — HP Unix

• SOLARIS — Solaris

• OPENLDAP — OpenLDAP

• POSTGRESQL — PostgreSQL

no

Region ID

Only if using multiple regions.

Kerberos Target Authentication

If enabled, Kerberos authentication is used to log in to the specified Windows target.

no

Key Distribution Center (KDC)

(Required if Kerberos Target Authentication is enabled) This host supplies the session tickets for the user.

yes

KDC Port

The port on which the Kerberos authentication API communicates. By default, Tenable uses 88.

no

KDC Transport

The KDC uses TCP by default in Linux implementations. For UDP, change this option. If you need to change the KDC Transport value, you may also need to change the port as the KDC UDP uses either port 88 or 750 by default, depending on the implementation.

no

Domain

(Required if Kerberos Target Authentication is enabled) The Kerberos Domain is the authentication domain, usually noted as the domain name of the target.

yes

no

Verify SSL Certificate

When enabled, Tenable verifies that the SSL Certificate on the server is signed by a trusted CA.

no

Senhasegura ホスト

Senhasegura ホストの IP アドレスまたは URL です。

〇

Senhasegura ポート

Senhasegura API が通信に使用するポートです。Tenable はデフォルトで 443 を使用します。

〇

Senhasegura API クライアント ID

Oauth 2.0 API 認証に適用される Senhasegura A2A アプリケーションのクライアント ID です。

〇

〇

✕

〇

秘密鍵ファイル

A2A からの暗号化された機密データを復号するために使用される秘密鍵です。

注意: A2A アプリケーション認証で機密データの暗号化を有効にできます。有効にした場合、ユーザーはスキャン認証情報に秘密鍵ファイルを指定する必要があります。これは、Senhasegura の該当する A2A アプリケーションからダウンロードできます。

A2A アプリケーション認証で機密データの暗号化を有効にした場合には必須です。

HTTPS

このオプションはデフォルトで有効です。

〇

SSL 証明書を検証する

これはデフォルトでは無効になっています。

✕

Username (ユーザー名)

(必須) ターゲットシステムのユーザーのユーザー名。

Domain (ドメイン)

Thycotic サーバーで設定されている場合、ユーザー名のドメイン。

Thycotic Secret Name (Thycotic シークレット名)

(必須) Thycoticサーバーのシークレット名の値。

Thycotic Secret Server URL (Thycotic シークレットサーバー URL)

(必須) スキャナーの転送方法、ターゲット、ターゲットディレクトリを設定するときに Tenable Nessus が使用する値。この値は、Thycotic サーバーの [Admin] (管理者) > [Configuration] (設定) > [Application Settings] (アプリケーション設定) > [Secret Server URL] (シークレットサーバー URL) にあります。

たとえば、https://pw.mydomain.com/SecretServer と入力した場合、Tenable Nessus はこれが SSL 接続であり、pw.mydomain.com がターゲットアドレス、/SecretServer はルートディレクトリであると判断します。

Thycotic Login Name (Thycotic ログイン名)

(必須) Thycotic サーバーのユーザーのユーザー名。

Thycotic Password (Thycotic パスワード)

(必須) 指定した Thycotic ログイン名に関連付けられたパスワード。

Thycotic Organization (Thycotic 企業)

Thycotic のクラウドインスタンスで、Tenable Nessus クエリがターゲットにする必要がある企業を識別する値。

Thycotic Domain (Thycotic ドメイン)

ドメイン (Thycotic サーバーに設定されている場合)。

Private Key (プライベートキー)

有効にすると、Tenable Nessus はパスワード認証ではなく鍵ベースの認証で SSH 接続を行います。

Verify SSL Certificate (SSL 証明書の検証)

有効にすると、Tenable Nessus は Thycotic サーバーの SSL 証明書を検証します。

自己署名証明書の使用の詳細については、カスタム SSL サーバー証明書を参照してください。

Username (ユーザー名)

(必須) スキャンするホストにログインするためのユーザー名です。

BeyondTrust host (BeyondTrust ホスト)

(必須) BeyondTrust IP アドレスまたは DNS アドレスです。

BeyondTrust port (BeyondTrust host ポート)

(必須) BeyondTrust がリッスンしているポートです。

BeyondTrust API key (BeyondTrust API キー)

(必須) BeyondTrust が提供する API キーです。

Checkout duration (チェックアウト期間)

(必須) BeyondTrust で認証情報のチェックアウト状態を保持する時間 (分) です。チェックアウトの期間は、Nessus における通常のスキャン期間を超えるように設定します。新しいスキャンが開始したときに過去のスキャンのパスワードがまだチェックアウトされている場合、新しいスキャンは失敗します。

注意 : BeyondTrust でパスワードの変更間隔を設定し、パスワード変更によって Nessus スキャンが中断されないようにします。スキャン中に BeyondTrust がパスワードを変更すると、スキャンは失敗します。

Use SSL (SSL の使用)

有効にすると、Nessus は安全な通信のために IIS を介して SSL を使用します。このオプションを有効にするには、BeyondTrust で IIS を使用して SSL を設定する必要があります。

Verify SSL certificate (SSL 証明書の検証)

有効にすると、Nessus は SSL 証明書を検証します。このオプションを有効にするには、BeyondTrust で IIS を使用して SSL を設定する必要があります。

Use private key (プライベートキーの使用)

有効にすると、Nessus はパスワード認証ではなく秘密鍵ベースの認証で SSH 接続を行います。失敗した場合は、パスワードが要求されます。

Use privilege escalation (権限昇格の使用)

有効にすると、BeyondTrust は設定された権限昇格コマンドを使用します。コマンドから何かが返された場合は、それをスキャンに使用します。

yes

no

The Lieberman IP/DNS address.

Note: If your Lieberman installation is in a subdirectory, you must include the subdirectory path. For example, type IP address or hostname / subdirectory path.

yes

yes

yes

yes

The alias used for the authenticator in Lieberman. The name should match the name used in Lieberman.

Note: If you use this option, append a domain to the Lieberman user option, i.e., domain\user.

The file that contains the PEM certificate used to communicate with the Lieberman host.

Note: If you use this option, you do not have to enter information in the Lieberman user, Lieberman password, and Lieberman Authenticator fields.

If Lieberman is configured to support SSL through IIS, check for secure communication.

no

If Lieberman is configured to support SSL through IIS and you want to validate the certificate, check this. Refer to custom_CA.inc documentation for how to use self-signed certificates.

no

no

WALLIX Host

The IP address for the WALLIX Bastion host.

yes

WALLIX Port

The port on which the WALLIX Bastion API communicates. By default, Tenable uses 443.

yes

Authentication Type

Basic authentication (with WALLIX Bastion user interface username and Password requirements) or API Key authentication (with username and WALLIX Bastion-generated API key requirements).

no

Your WALLIX Bastion user interface login username.

The account name associated with a Device you want to log in to the target systems with.

Note: If your device has more than one account you must enter the specific device name for the account you want to retrieve credentials for. Failure to do this may result in credentials for the wrong account returned by the system.

Required only if you have a target and/or device with multiple accounts.

HTTPS

This is enabled by default.

Caution: The integration fails if you disable HTTPS.

yes

Verify SSL Certificate

This is disabled by default and is not supported in WALLIX Bastion PAM integrations.

no

Elevate privileges with

This enables WALLIX Bastion Privileged Access Management (PAM). Use the drop-down menu to select the privilege elevation method. To bypass this function, leave this field set to Nothing.

Caution: In your WALLIX Bastion account, the WALLIX Bastion super admin must have enabled "credential recovery" on your account for PAM to be enabled. Otherwise, your scan may not return any results. For more information, see your WALLIX Bastion documentation.

Note: Multiple options for privilege escalation are supported, including su, su+sudo and sudo. For example, if you select sudo, more fields for sudo user, Escalation Account Name, and Location of su and sudo (directory) are provided and can be completed to support authentication and privilege escalation through WALLIX Bastion PAM. The Escalation Account Name field is then required to complete your privilege escalation.

Note: For more information about supported privilege escalation types and their accompanying fields, see the Tenable Nessus User Guide.

Required if you wish to escalate privileges.

Database

no

Auth Type

The type of account you want Tenable to use to access the database instance: 

• SYSDBA
• SYSOPER
• NORMAL

no

no

The SID value or SERVICE_NAME value for your database instance.

The Service value you enter must match your parameter selection for the Service Type option.

yes

Specify IPs or CIDR blocks on which this credential is attempted before any other credential. To specify multiple IPs or CIDR blocks, use a comma or space-separated list.

Using this setting can decrease scan times by prioritizing a credential that you know works against your selected targets. For example, if your scan specifies 100 credentials, and the successful credential is the 59th credential out of 100, the first 58 credentials have to fail before the 59th credential succeeds. If you use Targets To Prioritize Credentials, you configure the scan to use the successful credential first, which allows the scan to access the target faster.

The Hashicorp Vault IP address or DNS address.

Note: If your Hashicorp Vault installation is in a subdirectory, you must include the subdirectory path. For example, type IP address or hostname / subdirectory path.

Specifies the authentication type for connecting to the instance: App Role or Certificates.

If you select Certificates, additional options for Hashicorp Client Certificate(Required) and Hashicorp Client Certificate Private Key (Required) appear. Select the appropriate files for the client certificate and private key.

The GUID generated by Hashicorp Vault when you configured your App Role.

The path/subdirectory to the authentication endpoint. This is not the full URL. For example:

/v1/auth/approle/login

yes

The Tenable Nessus version: KV1, KV2, AD, or LDAP. For additional information about Tenable Nessus versions, see the Tenable Nessus documentation.

(KV1) The URL Tenable Nessus uses to access the KV1 engine.

Example: /v1/path_to_secret. No trailing /

(KV2) The URL Tenable Nessus uses to access the KV2 engine.

Example: /v1/path_to_secret. No trailing /

(AD) The URL Tenable Nessus uses to access the Active Directory engine.

Example: /v1/path_to_secret. No trailing /

(LDAP) The URL Tenable Nessus uses to access the LDAP engine.

Example: /v1/path_to_secret. No trailing /

Domain Key (Windows)

(Required if Kerberos Target Authentication is enabled.) The key name that the domain is stored under in the secret.

yes

Kerberos Target Authentication

If enabled, Kerberos authentication is used to log in to the specified Linux or Unix target.

no

Key Distribution Center (KDC)

(Required if Kerberos Target Authentication is enabled.) This host supplies the session tickets for the user.

yes

KDC Port

The port on which the Kerberos authentication API communicates. By default, Tenable uses 88.

no

KDC Transport

The KDC uses TCP by default in Linux implementations. For UDP, change this option. If you need to change the KDC Transport value, you may also need to change the port as the KDC UDP uses either port 88 or 750 by default, depending on the implementation.

no

Domain (Windows)

(Required if Kerberos Target Authentication is enabled.) The domain to which Kerberos Target Authentication belongs, if applicable.

yes

Realm (SSH)

(Required if Kerberos Target Authentication is enabled.) The Realm is the authentication domain, usually noted as the domain name of the target (for example, example.com).

yes

Use a privilege escalation method such as su or sudo to use extra privileges when scanning.

Note: Tenable supports multiple options for privilege escalation, including su, su+sudo and sudo. For example, if you select sudo, more fields for sudo user, Escalation account secret name, and Location of sudo (directory) are provided and can be completed to support authentication and privilege escalation through Tenable Nessus.

Note: For more information about supported privilege escalation types and their accompanying fields, see the Nessus User Guide and the Tenable Vulnerability Management User Guide.

Specify IPs or CIDR blocks on which this credential is attempted before any other credential. To specify multiple IPs or CIDR blocks, use a comma or space-separated list.

Using this setting can decrease scan times by prioritizing a credential that you know works against your selected targets. For example, if your scan specifies 100 credentials, and the successful credential is the 59th credential out of 100, the first 58 credentials have to fail before the 59th credential succeeds. If you use Targets To Prioritize Credentials, you configure the scan to use the successful credential first, which allows the scan to access the target faster.

Centrify Host

(Required) The Centrify IP address or DNS address.

Note: If your Centrify installation is in a subdirectory, you must include the subdirectory path. For example, type IP address or hostname/subdirectory path.

Centrify Port

API Key

Authentication URL

The length of time, in minutes, that you want to keep credentials checked out in Centrify.

Configure the Checkout Duration to exceed the typical duration of your Tenable Nessus Manager scans. If a password from a previous scan is still checked out when a new scan begins, the new scan fails.

Note: Configure the password change interval in Centrify so that password changes do not disrupt your Tenable Nessus Manager scans. If Centrify changes a password during a scan, the scan fails.

Specify IPs or CIDR blocks on which this credential is attempted before any other credential. To specify multiple IPs or CIDR blocks, use a comma or space-separated list.

Using this setting can decrease scan times by prioritizing a credential that you know works against your selected targets. For example, if your scan specifies 100 credentials, and the successful credential is the 59th credential out of 100, the first 58 credentials have to fail before the 59th credential succeeds. If you use Targets To Prioritize Credentials, you configure the scan to use the successful credential first, which allows the scan to access the target faster.

Arcon host

(Required) The Arcon IP address or DNS address.

Note: If your Arcon installation is in a subdirectory, you must include the subdirectory path. For example, type IP address or hostname/subdirectory path.

Arcon port

The port on which Arcon listens.

(Required) The API user provided by Arcon.

(Required) The API key provided by Arcon.

Password Engine URL

The URL Tenable Nessus Manager uses to access the passwords in Arcon.

(Required) The length of time, in hours, that you want to keep credentials checked out in Arcon.

Configure the Checkout Duration to exceed the typical duration of your Tenable Vulnerability Management scans. If a password from a previous scan is still checked out when a new scan begins, the new scan fails.

Note: Configure the password change interval in Arcon so that password changes do not disrupt your Tenable Vulnerability Management scans. If Arcon changes a password during a scan, the scan fails.

Specify IPs or CIDR blocks on which this credential is attempted before any other credential. To specify multiple IPs or CIDR blocks, use a comma or space-separated list.

Using this setting can decrease scan times by prioritizing a credential that you know works against your selected targets. For example, if your scan specifies 100 credentials, and the successful credential is the 59th credential out of 100, the first 58 credentials have to fail before the 59th credential succeeds. If you use Targets To Prioritize Credentials, you configure the scan to use the successful credential first, which allows the scan to access the target faster.