Записывали ли эти записи в журнал вторжение на сервер?

«CPU достигает 80-90% занятого во всех ядрах в течение примерно 5 минут»

. Такое использование позволит вам точно определить виновника, используя pidstat, доступный в пакете sysstat.

Просто запустите pidstat -u | sort -nr -k 7,7 | head -10, и процесс, который использовал большинство CPU, должен быть верхней строкой.