Все эти методы имеют свои плюсы и минусы, и лучше их комбинировать. Ручной аудит затягивается, но находит то, что сканеры пропустят, а автоматические инструменты помогают быстро мониторить, хоть иногда и с ложными тревогами. Баг-баунти — крутая штука, если умеешь контролировать поток отчетов, иначе голова заболит.