забыл ещё уточнить один нюанс
на виртуалках у нас крутится Centos 7 и в то же время на множестве виртуалок закрешился auditd
Никто не скажет лучше вас, что внутри ВМ. Может, это ботнет, может, DDoS атака, может, старому админу не заплатили, и он timebomb поставил.
Гипервизор тупо планирует выполнение вашего хозяйства. Так что мониторинг в зубы, сортируем по lavg и смотрим, кто отличился.