1. поставь
munin с плагинами на веб сервер -там будет 99% видно где кто и когда дешево и сердито.
2.
iotop -oka тоже даст понимания особенно если это I-O проблема.
3 Поздравляю вас ддосят, можно проверить по аксесс логу апача или по подключениям
netstat -ntu | awk '{print $5}' | grep -vE "(Address|servers|77.37.156.60|79.137.175.245|192.168.5.201|95.163.251.234|127.0.0.1|8.8.8.8|8.8.4.4)" | cut -d: -f1 | sort | uniq -c | sort -n| sed 's/^[ \t]*//'
смотрим если там все плохо вас ддосят, плохо это по факту если больше 5 подключений на ip или этих подключений целая куча.