你可以通过配置安全组规则，允许或禁止安全组内的实例的出流量和入流量。
一、特点
·安全组是一个逻辑上的分组，你可以将同一地域内具有相同网络安全隔离需求的云服务器、弹性网卡、云数据库等实例加到同一个安全组内。
·安全组未添加任何规则时，默认拒绝所有出/入站流量，你需要添加相应的允许规则。
·安全组是有状态的，对于你已允许的入站流量，都将自动允许其流出，反之亦然。
·你可以随时修改安全组的规则，新规则立即生效。
二、使用限制
有关安全组的使用限制及配额，详情请参见 限制说明。
三、组成部分
安全组规则包括如下组成部分：
·来源或目标：流量的源（入站规则）或目标（出站规则），可以是单个 IP 地址、IP 地址段，也可以是安全组，具体请参见 添加安全组规则。
·协议类型和协议端口：协议类型如 TCP、UDP 等。
·策略：允许或拒绝。
四、规则优先级
·安全组内规则具有优先级。规则优先级按列表位置从上至下依次递减，即列表顶端规则优先级最高，最先匹配；列表底端规则优先级最低，最后匹配。
·若有规则冲突，则默认匹配位置更前的规则。
·当有流量入/出绑定某安全组的实例时，将从安全组规则列表顶端的规则开始逐条匹配至最后一条。如果匹配某一条规则成功，则执行该条规则，不再匹配该规则之后的任何规则。
五、多个安全组
一个实例可以绑定一个或多个安全组，当实例绑定多个安全组时，多个安全组将按照从上到下依次匹配执行，你可以随时 调整安全组的优先级。
注意：说明：
注意：当一个实例绑定多个安全组时，系统会按照优先级从高到低进行匹配。如果较高优先级的安全组内没有任何规则，则会继续匹配下一个安全组，直到找到首个包含规则的安全组并依次匹配执行其规则。
六、安全组模板
新建安全组时，你可以选择腾讯云为你提供的两种安全组模板：
·放通全部端口：将会放通所有出/入站流量。
·放通22，80，443，3389端口和 ICMP 协议：将会放通 TCP 22端口（Linux SSH 登录），80、443端口（Web 服务），3389端口（Windows 远程登录）、 ICMP 协议（Ping）、放通内网（私有网络网段）。
注意：说明：
七、安全组使用流程和实践建议
安全组的使用流程如下：
八、创建安全组
·调用 API 购买 CVM 时建议指定安全组，未指定安全组时，将使用系统自动生成的默认安全组，默认规则为放通所有 IPv4 规则。默认安全组创建后可按需修改。
·实例防护策略有变更，建议优先修改安全组内规则，不需要重新新建一个安全组。
九、关联安全组
·你可以将有相同防护需求的实例加入一个安全组，而无需为每一个实例都配置一个单独的安全组。
·不建议一个实例绑定过多安全组，不同安全组规则的冲突可能导致网络不通。
十、管理安全组规则
·需要修改规则时可以先将当前安全组导出备份，如果新规则有不利影响，可以导入之前的安全组规则进行恢复。
·当所需规则条目较多时可参见 管理参数模板。
十一、安全组和云防火墙
腾讯云防火墙（Cloud Firewall，CFW），是腾讯云原生的 SaaS 化防火墙产品，并集成了攻击者视角的漏洞扫描能力、IPS 入侵拦截能力、全网威胁情报和高级威胁溯源分析能力，是云环境的流量安全中心和策略管控中心，业务上云的第一道安全门户。
在实际使用场景中，安全组一般部署在 CVM 等云产品边界，用于实现云产品所属安全组间的访问控制。而腾讯云防火墙部署在 VPC 间的边界或互联网边界，用于实现 VPC 间或腾讯云到互联网访问控制。具体如下：
在以下场景中，当使用安全组不能满足需求时，可采用 腾讯云防火墙 来实现访问控制：
·了解 CVM 资产在互联网的暴露及漏洞情况，并通过 IPS 入侵防御功能和虚拟补丁功能，对网络漏洞加强防护。
·按域名实现主动外联控制，加强业务的安全性。
·按区域实现访问控制，例如，一键禁封境外 IP 的访问。