Vitaly Karasik

Как я могу узнать откуда и куда идут атаки? И могу ли я как - то это предотвратить, путем блокировки исходящего трафика

Куда - мы уже знаем из сообщения хостера (кстати, это не DDoS, а brute force).
Откуда? - в реальном времени это можно узнать например сравнивая "lsof" для соединений 22 портом c "ps" выводом. Соответственно можно вставить скрипт в крон.
И да, если речь только о атаках на 22 порт, его можно закрыть в iptables.

Проверьте API Cloudflare - наверняка там можно получить статус фильтров.

Для мониторинга cron jobs советую https://healthchecks.io/ - позволяет анализировать статус и время выполнения, посылать алерты и т.п.

Посмотрите, что происходит с памятью при этом - top или free.
Насчет логов - /var/log/syslog.

Как уже сказали многие, нужно найти/придумать какие-то задачи и их решать.
Могу подкинуть такие:
- поиграться с домашним роутером - например, делать ежедневный отчет по самым посещаемым сайтам, отслеживать попытки соседей подключиться и т.п.
- придумать и запустить что-то в области умного дома

Как уже сказали, скорее всего можно избежать необходимости делать reload каждую секунду.
Но если все же хотите это делать - то нужно использовать systemd timer, not service: https://opensource.com/article/20/7/systemd-timers

в то время (Feb 4 06:18:19) когда сервис остановился без понятной причины:

Это сделали или пользователь или cronjob.
1) посмотрите .bash_history всех пользователей
2) посмотрите какие cron запускаются в это время (/var/spool/cron/crontabs или что-то похожее, плюс /etc/crontab , /etc/cron*)

1,2,4,5 - поставить агент NewRelic для linux. (New Relic One https://newrelic.com/signup бесплатен)

Проблема: на тестовых серверах постоянная нехватка памяти, и сервера периодически перестают отвечать, помогает только перезагрузка принудительная.
При этом памяти показывает что занято чуть больше половины,

Тогда откуда уверенность что проблема в памяти? У вас есть мониторинг CPU / IO?
Что в логах?

Единственно отличие от "старого" датацентра это относительно короткое время жизни мащин.
Так что, ИМХО, тот же ансибл, который строит список машин динамически.

А вам нужно именно скомпилировать из исходников, не поставить из dpkg?
Если да, то покажите пож-ста по какой инструкции делали?

+1 к ответу Владимир Куц.
Дополнительно - посмотрите по тегах, на тостере почти каждый день задают вопросы связанные с дисками.

Это стандартная конфигурация во многих учреждениях.
Нужно поднять локальные репо для пакетов системы и pip (https://packaging.python.org/guides/hosting-your-o...).
Вопрос только в обновлениях. Простейший способ - раз в неделю, например, обновлять вручную с флешкой.
Иногда делают автоматически, если разрешают - ставят машину с двумя интерфейсами во внутр. и внешнюю сеть. Но интерфейсы подключаются не одновременно - то один, то другой.

https://ru.wikipedia.org/wiki/%D0%92%D0%BE%D0%B7%D...

Погуглите "logrotate based on directory size".
Насколько понимаю, это пример вполне рабочий:

For instance (/etc/logrotate.d/foo):

/var/log/foo # logs path
{
rotate 4 # limit number of files
size 10M # limit to 10 Mb
weekly # if less than size limit, it will rotate by expired time
compress # compressed file
delaycompress
}
In case logrotate scrip runs every day, it will be implement if file's size is bigger than 10Mb. Max log files at the folder (/var/log/foo) is limited to 4, Otherwise it will remove old files

Посмотрите на pgrep (https://linuxize.com/post/pgrep-command-in-linux/) - коротко и красиво