Na minha empresa, temos um script cron simples em cada servidor para verificar as médias de carga. Se a média de carga começar a ultrapassar um certo ponto, ele nos envia um e-mail, para que possamos efetuar login no servidor e procurar o (s) processo (s) ofensivo (s). top
seria o primeiro comando que eu digitei.
Acredito que verificamos a média de carga de 5 minutos, mas se você perceber que seu servidor está sendo atingido rapidamente, talvez seja necessário usar seu script para observar a média de carregamento de 1 minuto.