Ну, автоматические сканеры звучат привлекательно, типа быстро и просто, но на практике они часто пропускают важные вещи, да и ложные срабатывания - головная боль. Ручной аудит, конечно, лучше, но это реально долго и дорого. Вафы тоже штука хорошая, но без тонкой настройки легко заработать сбои. В итоге, на мой взгляд, комбинация всегда лучше, чем ставка на одно решение.