Security Group
Stateful brandvägg på instans-nivå i AWS — allow-only regler för inbound/outbound trafik. Kopplas till ENI:s (EC2, RDS, Lambda etc.).
"Stateful" = återrutter-trafik tillåts automatiskt (request ut ⇒ svar in är ok utan explicit regel). Default deny-all inbound, allow-all outbound. Kan referera andra security groups som source ("allow port 5432 from app-tier-sg") — kraftfullt för micro-segmentation. Konkurrent på samma stack: NACL (subnet-nivå, stateless, allow/deny). Best practice: security groups som primärbrandvägg, NACL som "stora yxan" för subnet-isolering.