Для быстрой общей проверки OpenVAS или Nessus отлично заходят, особенно если серверы под рукой. Если же надо поглубже в веб-логику — Burp или ZAP, они больше заточены под это, но их надо немного изучить. Я обычно комбинирую, чтобы не упустить чего, а с простыми скриптами в виде Nikto иногда можно быстро пробежаться перед основной проверкой.