Als het gaat om het testen van de beveiliging van webapplicaties zijn er drie kanten: die van het bedrijf, de resultaten van het vulnerability assessment en de waarheid. Of er nu een commerciele of open source scanner gebruikt wordt, ongetwijfeld vinden ze een berg aan informatie en beveiligingslekken.

Volgens Kevin Beaver zijn veel van de webapplicatie lekken die worden gevonden niet zo ernstig als ze lijken. "Ongeacht de marketing sprookjes of van tevoren opgestelde policies en rapporten, het bedrijfsnetwerk, behoeften en risico tolerantie bepalen wat echt belangrijk is bij het verwerken van een vulnerability assessment".

Waar het op neerkomt is dat zolang de webapplicatie testtool niet het lek misbruikt en de resultaten op een zilveren schaal aanbiedt, het bedrijf zelf de resultaten moet doorlopen om te zien of het gevonden probleem ook daadwerkelijk een probleem is.

In dit artikel beschrijft Beaver verschillende beveiligingsproblemen die scanners vaak aantreffen, maar uiteindelijk niet zoveel voorstellen. Zoals SQL injectie waarbij achter de schermen de input wel gevalideerd wordt. Aanwezigheid van een .old bestand dat uiteindelijk geen waardevolle informatie bevatte en een lekke Apache Web server die zou draaien maar helemaal niet geinstalleerd was.

Niet blindgaan op de resultaten van een scanner en zelf een beetje onderzoek doen voorkomt een hoop ellende en zorgt uiteindelijk voor minder werk.