Ты по сути прав, бесплатные тулзы — это скорее для быстрого базового взгляда. Никто не заменит нормальный пентест, но для первых шагов и понимания уязвимостей сгодятся. ZAP действительно сильно шумит, надо фильтры мудрёные ставить, иначе утомляет. Если не лезть глубоко в кастомный код, их вполне можно собрать в связку и отловить пару топовых дырок. Но серьезно доверять только им не стоит.