8. Docker обходит UFW: PostgreSQL 5432 открыт наружу
Сценарий: на свежем VPS ставят ufw default deny incoming, оставляют 22/80/443, затем Docker Compose с PostgreSQL и Redis и пробрасывают ports: "5432:5432" для DBeaver. UFW status выглядит чистым, но Docker публикует порт в обход правил, и через пару дней приходит абуза: ядра забиты kdevtmpfsi или kinsing, а в базе лежит README_TO_RECOVER с биткойн-кошельком. Автор напоминает, что это старая грабля, на которую всё равно наступают и джуны, и опытные админы.