Burp для сложных задач лучше брать, но для старта ZAP реально выручает — быстро и понятно. Главное, не ждать, что сканер сам найдет всё, иначе толку мало. Комбинируй проверки и руками фильтруй, тогда баги заметнее.