На практике часто хватает пары инструментов, чтоб быстро отсеять явно уязвимые места. Но без ручной проверки и здравого смысла сканеры мало что дадут — всегда ищи баланс между автоматикой и мозгами, иначе будет либо шум, либо пропуски. Burp и OpenVAS норм для старта, остальное — уже по ситуации.