Vamos analisar cada afirmativa: I – O teste de caixa preta é ideal para avaliar a segurança externa de um sistema sem conhecimento prévio do ambiente. Verdadeiro. No teste de caixa preta, o pentester não tem informações internas, simulando um ataque externo real. II – O teste de caixa branca permite uma análise minuciosa, incluindo acesso ao código-fonte e configurações internas do sistema. Verdadeiro. No teste de caixa branca, o pentester tem acesso total às informações internas, possibilitando uma análise detalhada. III – O teste de caixa preta é o mais utilizado para identificar vulnerabilidades em aplicações web internas. Falso. Para aplicações internas, geralmente se usa teste de caixa cinza ou branca, pois há algum nível de conhecimento ou acesso ao ambiente. IV – O teste de caixa cinza (Gray Box) oferece uma abordagem intermediária, combinando acesso parcial com análise de vulnerabilidades externas e internas. Verdadeiro. O teste de caixa cinza combina conhecimento parcial do sistema, permitindo uma análise mais focada. Portanto, os itens verdadeiros são: I, II e IV. Como não foi fornecida a lista de alternativas, a resposta correta deve conter os itens I, II e IV.