Vitalii Polishchuk

использование CPU начинает отображаться только со второго прохода (такая же ситуация, кстати, при парсинге обычного top

Это не проблема, это так работают счетчики - любая программа типа top или systemd-cgtop сперва считывает показания счетчиков, а через две секунды считывает их заново, получая среднестатистическую нагрузку на CPU, и по этому уже выводит инфу.
Найти нагрузку другим способом Линукс не предусматривает. Так же как и вытащить более детальное распределение слайсов времени по процессам.

systemd-cgtop -b -n 2
У меня попадает вроде оба экрана.

Вы можете попробовать разве что самостоятельно считывать сразу счетчики
читайте /proc/stat, /proc/sched_debug (возможно даже только его вам хватит), /proc_schedstat, вычислите какие цифры вам нужны и считывайте с той частотой, какая вам нужна.

Не реклама, но очень похоже на этот случай.

ряд клиентов были взломаны и их серверы и VPS стали частью ботнета, который одновременно начал генерировать гигабиты исходящего трафика, чем вызвал перегрузку сетевого оборудования. Несколько часов ушло только на то, чтобы определить зараженные серверы и остановить их работу. Как мне известно, с такой проблемой столкнулись и другие провайдеры

UPDATE: У одного из наших клиентов было похожее. Внезапно вырос исходящий SYN-трафик.

sub vcl_recv {
  ...
  if (req.url ~ "/wp-admin/.*$") {
        return(pass);
  }
  ...
}

Указать серверу (apache?), что бы он не откликался вашим сайтом на любой домен, а откликался только на ваш, тогда и проблема сама-собой исчезнет.