DuD

Nginx+php-fpm, каждый пул php-fpm от своего юзера.
Ну или Docker.

Нужно смотреть что стоит за nginx.

ну логи в /var/log обычно лежат.
А вообще, берете команду du -hcs и начиная от / пробегаете по папкам в поисках той которая занимает больше всего.