Пользуюсь Nmap и ZAP уже давно — для первой оценки и ловли простых уязвимостей хватает с головой. Nikto тоже иногда запускаю, чтобы быстро глянуть по настройкам сервера. Все эти бесплатные штуки реально помогают, если нормально разбираться и не ждать, что они всё сделают за тебя. Главное — не гонять их на продакшене без подготовки, иначе проблем прибавится.