Docker abrió una puerta que UFW no cerró.
Al publicar un puerto con Docker (-p 5432:5432), las reglas de reenvío en iptables pueden dejar tu base de datos accesible desde internet aunque UFW esté activo.
FerroSentry detecta el bypass y te entrega la regla exacta de iptables para bloquearlo manualmente.