Burp действительно удобен, если хочется прокапываться в веб-приложении вручную, а OpenVAS — быстрее на автомате бахнуть по системам. Но без руки всё равно толку мало, постоянно приходится вычищать ложняки и допиливать результаты. В идеале микс из обоих и пара простых проверок вручную — тогда картина яснее.