Для старта OWASP ZAP норм, не перегружает и понятно что проверяет. Burp тоже полезен, когда хочешь покопаться глубже. Главное не зацикливаться только на автоматике, логика часто вылетает. Еще не забывай обновлять базы, иначе много мусора будет в результатах.