Поддерживаю sim3x, лучше заплатить профессионалу по информационной безопасности, т.к. сервисы ищут только банальные и очень распространённые уязвимости.
сейчас в работе используем https://wallarm.com/ - он платный правда.
Из минусов нужно обучать, это занимает время, если где-то ошиблись в white-list-ах то даже самые простые атаки будут одобрены.