Serverfehler um kurz nach Mitternacht?

[ciscllc]

Hallo!

Ich habe ein Problem mit einem VServer auf LXC Basis - es war ein openVZ und wurde konvertiert und nun hängt er sich um kurz nach Mitternacht jeden Tag / Nacht auf.
Die Logs lassen keine Probleme sehen, aber in Proxmox sehe ich, das die CPU auf 20% raufgeht und von den 7 GB Ram, von denen im Normalbetrieb ca 2 GB verwendet werden, plötzlich 100% ausgelastet sind. Es funktionieren dann immer noch der ein andere andere Prozess (meist apache, nginx, mysql, manchmal proftp)

Debian 7.9
Postfix
dovecot 2.2.13
proftp 1.3.4a
apache 2.2.22
nginx 1.8.1
mysql 5.5.47
cron 3.0 pl1-124
linux 4.2.6-1-pve

Alle anderen Server auf der selben Basis (debian 7.9 bis 8.3) habe kein derartiges Problem, deshalb denke ich nicht, das es am Host liegen könnte (auch hier gibt es dazu keine entsprechenden Logfiles)

Wie könnte ich das debuggen?

Danke!

[pferdefreund]

Mal in die crontab schauen, ob um diese Zeit was läuft oder laufen soll. Eventuell ein SQL-Dump oder sowas ?
Mal per htop um die Zeit, kurz bevor es losgeht - anmelden und schauen, wer da rumschweint. Gut ist zwar spät aber eventuell ergibt die crontab schon was und man kann den vermuteten Bösewicht auch vorher laufen lassen.

[ciscllc]

Danke, das mit der crontab habe ich bereits versucht, nur leider ohne Ergebnis. Vielleicht ist es die Kombi aus verschiedenen Cronjobs.
Werde mal crond stoppen und dann sehe ich ja, ob es damit zusammenhängt.

[pferdefreund]

Es gibt auch User-Crontabs - die nicht vergessen. Ich weiß nicht wo die sind, sollte sich aber per man cron oder so finden lassen. Verwende selbst eine selbstgeschriebene Jobverwaltung ala Jobtrack, uc4 oder so.

[NAB]

Könnte das ein Angriff von außen sein?

[catdog2]

Die Logs lassen keine Probleme sehen, aber in Proxmox sehe ich, das die CPU auf 20% raufgeht und von den 7 GB Ram, von denen im Normalbetrieb ca 2 GB verwendet werden, plötzlich 100% ausgelastet sind. Es funktionieren dann immer noch der ein andere andere Prozess (meist apache, nginx, mysql, manchmal proftp)

Also geht ihm der Speicher aus und der oom killer schießt wild um sich? Müsste man aber immerhin was im dmesg sehen.

Könnte das ein Angriff von außen sein?

Möglich aber immer zur selben Zeit schreit natürlich nach nem cronjob oder ähnlich.