セキュリティグループにおいて「すべて拒否」がデフォルトの動作となるのはどのルールか。

セキュリティグループのインバウンド(受信)は、明示的に許可しない限りすべての通信を拒否します。