| Процесс | CPU % | RAM % |
|---|---|---|
| apache2 | 13.4 | 4.7 |
| clamd | 9.8 | 5.3 |
| crowdsec | 6.6 | 9.6 |
| suricata | 4.7 | 0.9 |
| falco | 2.6 | 16.5 |
| Процесс | CPU % | RAM % |
|---|---|---|
| falco | 19.5 | 5.3 |
| mysqld | 13.1 | 9.6 |
| fail2ban-server | 8.1 | 8.8 |
| crowdsec | 5.7 | 13.6 |
| apache2 | 3.5 | 11.0 |
Команда top отвечает на вопрос о текущей секунде, а спрашивают обычно о прошлой ночи: почему в три часа всё встало и вернулось само. К этому моменту смотреть уже нечего — данные нигде не сохранились. Разворачивать ради одного VPS связку Prometheus и Grafana тоже сомнительно: наблюдающий стек выходит тяжелее наблюдаемого сервера.
Коллектор раз в пять минут дописывает строку в базу, а страница рисует по ней последние сутки. Load average, загрузка CPU и отдельно I/O wait, RAM и swap, приём и передача по сети, чтение и запись диска, число установленных TCP-соединений, процессы, заполнение раздела, inodes и файловые дескрипторы в процентах от лимита, соединения MySQL. Всё на одной странице и в одном масштабе времени, так что совпадения видно глазами.
Читать эти графики стоит парами. Высокий I/O wait при спокойном CPU означает, что сервер ждёт диск, и добавлять процессорных ядер бессмысленно. Swap, который однажды вырос и не вернулся к нулю, говорит, что пик памяти уже случился, даже если сейчас всё выглядит спокойно. Дескрипторы, подошедшие к сотне процентов, — это будущая ошибка too many open files за несколько часов до того, как она произойдёт. А inodes на большинстве серверов кончаются заметно раньше свободного места.