Чем Security Groups отличаются от Network ACL?

Security Group — stateful firewall на уровне инстанса: ответный трафик разрешается автоматически. Network ACL — stateless firewall на уровне subnet: нужно явно разрешать входящий и исходящий трафик для обоих направлений. NACL обрабатываются в порядке номеров правил. Обычно SG используют для контроля доступа к конкретным ресурсам, NACL — для subnet-уровневой изоляции.