後半のデフォルトセキュリティグループの説明ですが、インスタンスにどのセキュリティグループが適用されるかと、どんなルールかの2つが説明されています。この2つは別の文にした方が正確になると思います。以下に案を記載します。

すべてのプロジェクトが default セキュリティグループを持ちます。
他のセキュリティグループが定義されていないインスタンスには default セキュリティグループが提供されます。
default セキュリティグループは、ルールを変更しない限り、すべての受信トラフィックを拒否します。