Grupo de seguridad
Cortafuegos con estado a nivel de instancia en AWS — reglas de solo permitir para el tráfico entrante y saliente. Se asocia a las ENI (EC2, RDS, Lambda, etc.).
"Con estado" significa que el tráfico de retorno se permite automáticamente (petición saliente ⇒ respuesta entrante es válida sin regla explícita). Por defecto deniega todo el tráfico entrante y permite todo el saliente. Puede referenciar otros grupos de seguridad como origen ("permitir puerto 5432 desde app-tier-sg") — potente para microsegmentación. Competidor en la misma capa: NACL (nivel de subred, sin estado, permitir/denegar). Buena práctica: grupos de seguridad como cortafuegos principal, NACL como "el hacha grande" para aislar subredes.