how to check background processes for sudden high read throughput

hi, i got one aws ec2 + 50GB ssd ebs gp3. this ebs gp3 only offer IOPS 3000 with Throughput 125.
but high read throughput make server down. may i know how to check background processes?



on 6:46, no more processes take high cpu from 20 top listing, after recovered on 8:25, many php processes running. then slow to recovered in next 20 minutes

To monitor disk I/O, try to use "iotop":

Code: [Select]

yum -y install iotop
Additionally, try to find which ip generates high network traffic using "iftop".

Code: [Select]

yum -y install iftop

Also, I found "top" shows high "sy" when the average load is high. "sy" indicates how much cpu is consumed by "system". High "sy" could indicate problems with the kernel, some driver or node your VPS is hosted on.

i got print iotop with ps into log file. can check below iotop listing first. i suspect csf with clamd service cause high read throughput.
from ps axuf, involve 2 system processess
/usr/sbin/clamd -c /etc/clamd.d/amavisd.conf --foreground=yes
/usr/bin/md5sum --check /var/lib/csf/csf.tempint

Code: [Select]

iotop -b -n 3
Total DISK READ :      34.48 M/s | Total DISK WRITE :       0.00 B/s
Actual DISK READ:      34.76 M/s | Actual DISK WRITE:      71.91 K/s
    TID  PRIO  USER     DISK READ  DISK WRITE  SWAPIN      IO    COMMAND
b' 216781 be/4 root       26.97 M/s    0.00 B/s  0.00 % 99.99 % my_print_defaults --loose-verbose --mysqld'
b' 216197 be/4 xantec      4.14 M/s    0.00 B/s  0.00 % 99.99 % php-cgi /home/xantec/public_html/index.php'
b' 216137 be/4 xantec      0.00 B/s    0.00 B/s  0.00 % 98.56 % php-cgi /home/xantec/public_html/index.php'
b' 216183 be/4 xantec      0.00 B/s    0.00 B/s  0.00 % 93.64 % php-cgi /home/xantec/public_html/index.php'
b' 216091 be/4 xantec      0.00 B/s    0.00 B/s  0.00 % 88.02 % php-cgi /home/xantec/public_html/index.php'
b' 216154 be/4 xantec      0.00 B/s    0.00 B/s  0.00 % 83.31 % php-cgi /home/xantec/public_html/index.php'
b' 216179 be/4 xantec      0.00 B/s    0.00 B/s  0.00 % 78.17 % php-cgi /home/xantec/public_html/index.php'
b' 216194 be/4 xantec      0.00 B/s    0.00 B/s  0.00 % 75.39 % php-cgi /home/xantec/public_html/index.php'
b' 216189 be/4 xantec      0.00 B/s    0.00 B/s  0.00 % 75.36 % php-cgi /home/xantec/public_html/index.php'
b' 216114 be/4 xantec      0.00 B/s    0.00 B/s  0.00 % 75.35 % php-cgi /home/xantec/public_html/index.php'
b' 216121 be/4 xantec      0.00 B/s    0.00 B/s  0.00 % 75.34 % php-cgi /home/xantec/public_html/index.php'
b' 216096 be/4 xantec      0.00 B/s    0.00 B/s  0.00 % 75.32 % php-cgi /home/xantec/public_html/index.php'
b' 216109 be/4 xantec      0.00 B/s    0.00 B/s  0.00 % 75.32 % php-cgi /home/xantec/public_html/index.php'
b' 216146 be/4 xantec      0.00 B/s    0.00 B/s  0.00 % 75.31 % php-cgi /home/xantec/public_html/index.php'
b' 216118 be/4 xantec      0.00 B/s    0.00 B/s  0.00 % 75.31 % php-cgi /home/xantec/public_html/index.php'
b' 216097 be/4 xantec      0.00 B/s    0.00 B/s  0.00 % 75.29 % php-cgi /home/xantec/public_html/index.php'
b' 216169 be/4 xantec      0.00 B/s    0.00 B/s  0.00 % 75.28 % php-cgi /home/xantec/public_html/index.php'
b' 216095 be/4 xantec      0.00 B/s    0.00 B/s  0.00 % 75.28 % php-cgi /home/xantec/public_html/index.php'
b' 216117 be/4 xantec      0.00 B/s    0.00 B/s  0.00 % 75.27 % php-cgi /home/xantec/public_html/index.php'
b' 216126 be/4 xantec      0.00 B/s    0.00 B/s  0.00 % 75.24 % php-cgi /home/xantec/public_html/index.php'
b' 216100 be/4 xantec      0.00 B/s    0.00 B/s  0.00 % 75.23 % php-cgi /home/xantec/public_html/index.php'
b' 216108 be/4 xantec      0.00 B/s    0.00 B/s  0.00 % 75.21 % php-cgi /home/xantec/public_html/index.php'
b' 216150 be/4 xantec      0.00 B/s    0.00 B/s  0.00 % 75.20 % php-cgi /home/xantec/public_html/index.php'
b' 216190 be/4 xantec      0.00 B/s    0.00 B/s  0.00 % 75.18 % php-cgi /home/xantec/public_html/index.php'
b' 216174 be/4 xantec      0.00 B/s    0.00 B/s  0.00 % 75.17 % php-cgi /home/xantec/public_html/index.php'
b' 216092 be/4 xantec      0.00 B/s    0.00 B/s  0.00 % 75.15 % php-cgi /home/xantec/public_html/index.php'
b' 216155 be/4 xantec      0.00 B/s    0.00 B/s  0.00 % 74.81 % php-cgi /home/xantec/public_html/index.php'
b' 216119 be/4 xantec      0.00 B/s    0.00 B/s  0.00 % 74.80 % php-cgi /home/xantec/public_html/index.php'
b' 216103 be/4 xantec      0.00 B/s    0.00 B/s  0.00 % 74.77 % php-cgi /home/xantec/public_html/index.php'
b' 216193 be/4 xantec      0.00 B/s    0.00 B/s  0.00 % 74.75 % php-cgi /home/xantec/public_html/index.php'
b' 216134 be/4 xantec      0.00 B/s    0.00 B/s  0.00 % 74.73 % php-cgi /home/xantec/public_html/index.php'
b' 216116 be/4 xantec      0.00 B/s    0.00 B/s  0.00 % 74.72 % php-cgi /home/xantec/public_html/index.php'
b' 216719 be/4 xantec      0.00 B/s    0.00 B/s  0.00 % 74.69 % php-cgi /home/xantec/public_html/index.php'
b' 216094 be/4 xantec      0.00 B/s    0.00 B/s  0.00 % 74.34 % php-cgi /home/xantec/public_html/index.php'
b' 216165 be/4 xantec      0.00 B/s    0.00 B/s  0.00 % 68.41 % php-cgi /home/xantec/public_html/index.php'
b' 216164 be/4 xantec      0.00 B/s    0.00 B/s  0.00 % 68.40 % php-cgi /home/xantec/public_html/index.php'
b' 216186 be/4 xantec      0.00 B/s    0.00 B/s  0.00 % 68.38 % php-cgi /home/xantec/public_html/index.php'
b' 216180 be/4 xantec      0.00 B/s    0.00 B/s  0.00 % 68.36 % php-cgi /home/xantec/public_html/index.php'
b' 216192 be/4 xantec      0.00 B/s    0.00 B/s  0.00 % 68.35 % php-cgi /home/xantec/public_html/index.php'
b' 216175 be/4 xantec      0.00 B/s    0.00 B/s  0.00 % 67.94 % php-cgi /home/xantec/public_html/index.php'
b' 216162 be/4 xantec      0.00 B/s    0.00 B/s  0.00 % 67.93 % php-cgi /home/xantec/public_html/index.php'
b' 216131 be/4 xantec      0.00 B/s    0.00 B/s  0.00 % 63.63 % php-cgi /home/xantec/public_html/index.php'
b' 216115 be/4 xantec      0.00 B/s    0.00 B/s  0.00 % 62.58 % php-cgi /home/xantec/public_html/index.php'
b' 216111 be/4 xantec      0.00 B/s    0.00 B/s  0.00 % 62.56 % php-cgi /home/xantec/public_html/index.php'
b' 216132 be/4 xantec      0.00 B/s    0.00 B/s  0.00 % 58.48 % php-cgi /home/xantec/public_html/index.php'
b' 216198 be/4 xantec      0.00 B/s    0.00 B/s  0.00 % 53.98 % php-cgi /home/xantec/public_html/index.php'
b' 216110 be/4 xantec      0.00 B/s    0.00 B/s  0.00 % 47.41 % php-cgi /home/xantec/public_html/index.php'
b' 216478 be/4 xantec      0.00 B/s    0.00 B/s  0.00 % 43.98 % php-cgi /home/xantec/public_html/index.php'
b' 216144 be/4 xantec      0.00 B/s    0.00 B/s  0.00 % 38.09 % php-cgi /home/xantec/public_html/index.php'
b' 216099 be/4 xantec      0.00 B/s    0.00 B/s  0.00 % 33.27 % php-cgi /home/xantec/public_html/index.php'
b' 216188 be/4 xantec      0.00 B/s    0.00 B/s  0.00 % 33.25 % php-cgi /home/xantec/public_html/index.php'
b' 216139 be/4 xantec      0.00 B/s    0.00 B/s  0.00 % 33.22 % php-cgi /home/xantec/public_html/index.php'
b' 216124 be/4 xantec      0.00 B/s    0.00 B/s  0.00 % 33.21 % php-cgi /home/xantec/public_html/index.php'
b' 216104 be/4 xantec      0.00 B/s    0.00 B/s  0.00 % 33.19 % php-cgi /home/xantec/public_html/index.php'
b' 216160 be/4 xantec      0.00 B/s    0.00 B/s  0.00 % 33.18 % php-cgi /home/xantec/public_html/index.php'
b' 216149 be/4 xantec      0.00 B/s    0.00 B/s  0.00 % 33.16 % php-cgi /home/xantec/public_html/index.php'
b' 216135 be/4 xantec      0.00 B/s    0.00 B/s  0.00 % 33.14 % php-cgi /home/xantec/public_html/index.php'
b' 216738 be/4 root      575.30 K/s    0.00 B/s  0.00 % 15.23 % platform-python -s /usr/sbin/iotop -b -o -n 3'
b' 216487 be/7 root      287.65 K/s    0.00 B/s  0.00 %  0.00 % platform-python /usr/bin/dnf makecache --timer'
b' 216679 be/4 root        2.25 M/s    0.00 B/s  0.00 %  0.00 % md5sum --check /var/lib/csf/csf.tempint'
b' 216772 be/4 postfix   287.65 K/s    0.00 B/s  0.00 %  0.00 % cleanup -z -t unix -u'
Total DISK READ :      10.27 M/s | Total DISK WRITE :     188.87 K/s
Actual DISK READ:      40.42 M/s | Actual DISK WRITE:     142.58 K/s
    TID  PRIO  USER     DISK READ  DISK WRITE  SWAPIN      IO    COMMAND
b' 216679 be/4 root        9.31 M/s    0.00 B/s  0.00 % 61.39 % md5sum --check /var/lib/csf/csf.tempint'
b' 216487 be/7 root      966.59 K/s    0.00 B/s  0.00 % 43.38 % platform-python /usr/bin/dnf makecache --timer'
b' 216738 be/4 root       18.52 K/s   11.11 K/s  0.00 %  2.66 % platform-python -s /usr/sbin/iotop -b -o -n 3'
b'   1234 be/4 root        0.00 B/s    0.00 B/s  0.00 %  0.00 % rsyslogd -n [in:imjournal]'
b'   1238 be/4 root        0.00 B/s   44.44 K/s  0.00 %  0.00 % rsyslogd -n [rs:main Q:Reg]'
Total DISK READ :      36.98 M/s | Total DISK WRITE :     144.82 K/s
Actual DISK READ:      40.10 M/s | Actual DISK WRITE:     355.19 K/s
    TID  PRIO  USER     DISK READ  DISK WRITE  SWAPIN      IO    COMMAND
b' 216679 be/4 root       23.53 M/s    0.00 B/s  0.00 % 54.39 % md5sum --check /var/lib/csf/csf.tempint'
b' 216487 be/7 root       12.46 M/s    0.00 B/s  0.00 % 40.57 % platform-python /usr/bin/dnf makecache --timer'
b' 216790 be/4 mysql     963.81 K/s    0.00 B/s  0.00 % 16.33 % mysqld'
b'    696 be/4 chrony     50.88 K/s    0.00 B/s  0.00 %  0.00 % chronyd'
b'   1234 be/4 root        0.00 B/s    0.00 B/s  0.00 %  0.00 % rsyslogd -n [in:imjournal]'
b'   1238 be/4 root        0.00 B/s   35.23 K/s  0.00 %  0.00 % rsyslogd -n [rs:main Q:Reg]'
b' 216827 be/4 postfix     0.00 B/s    0.00 B/s  0.00 %  0.00 % cleanup -z -t unix -u'


below is ps axuf

Code: [Select]

USER         PID %CPU %MEM    VSZ   RSS TTY      STAT START   TIME COMMAND
root           2  0.0  0.0      0     0 ?        S    Oct24   0:00 [kthreadd]
root           3  0.0  0.0      0     0 ?        I<   Oct24   0:00  \_ [rcu_gp]
root           4  0.0  0.0      0     0 ?        I<   Oct24   0:00  \_ [rcu_par_gp]
root           5  0.0  0.0      0     0 ?        I<   Oct24   0:00  \_ [slub_flushwq]
root           7  0.0  0.0      0     0 ?        I<   Oct24   0:00  \_ [kworker/0:0H-events_highpri]
root          10  0.0  0.0      0     0 ?        I<   Oct24   0:00  \_ [mm_percpu_wq]
root          11  0.0  0.0      0     0 ?        S    Oct24   0:00  \_ [rcu_tasks_rude_]
root          12  0.0  0.0      0     0 ?        S    Oct24   0:00  \_ [rcu_tasks_trace]
root          13  0.0  0.0      0     0 ?        S    Oct24   0:01  \_ [ksoftirqd/0]
root          14  0.0  0.0      0     0 ?        R    Oct24   0:07  \_ [rcu_sched]
root          15  0.0  0.0      0     0 ?        S    Oct24   0:00  \_ [migration/0]
root          16  0.0  0.0      0     0 ?        S    Oct24   0:00  \_ [watchdog/0]
root          17  0.0  0.0      0     0 ?        S    Oct24   0:00  \_ [cpuhp/0]
root          18  0.0  0.0      0     0 ?        S    Oct24   0:00  \_ [cpuhp/1]
root          19  0.0  0.0      0     0 ?        S    Oct24   0:00  \_ [watchdog/1]
root          20  0.0  0.0      0     0 ?        S    Oct24   0:00  \_ [migration/1]
root          21  0.0  0.0      0     0 ?        S    Oct24   0:00  \_ [ksoftirqd/1]
root          23  0.0  0.0      0     0 ?        I<   Oct24   0:00  \_ [kworker/1:0H-events_highpri]
root          25  0.0  0.0      0     0 ?        S    Oct24   0:00  \_ [kdevtmpfs]
root          26  0.0  0.0      0     0 ?        I<   Oct24   0:00  \_ [netns]
root          27  0.0  0.0      0     0 ?        S    Oct24   0:00  \_ [kauditd]
root          28  0.0  0.0      0     0 ?        S    Oct24   0:00  \_ [xenbus]
root          29  0.0  0.0      0     0 ?        S    Oct24   0:00  \_ [xenwatch]
root          30  0.0  0.0      0     0 ?        S    Oct24   0:00  \_ [khungtaskd]
root          31  0.0  0.0      0     0 ?        S    Oct24   0:00  \_ [oom_reaper]
root          32  0.0  0.0      0     0 ?        I<   Oct24   0:00  \_ [writeback]
root          33  0.0  0.0      0     0 ?        S    Oct24   0:00  \_ [kcompactd0]
root          34  0.0  0.0      0     0 ?        SN   Oct24   0:00  \_ [ksmd]
root          35  0.0  0.0      0     0 ?        SN   Oct24   0:03  \_ [khugepaged]
root          36  0.0  0.0      0     0 ?        I<   Oct24   0:00  \_ [crypto]
root          37  0.0  0.0      0     0 ?        I<   Oct24   0:00  \_ [kintegrityd]
root          38  0.0  0.0      0     0 ?        I<   Oct24   0:00  \_ [kblockd]
root          39  0.0  0.0      0     0 ?        I<   Oct24   0:00  \_ [blkcg_punt_bio]
root          40  0.0  0.0      0     0 ?        I<   Oct24   0:00  \_ [tpm_dev_wq]
root          41  0.0  0.0      0     0 ?        I<   Oct24   0:00  \_ [md]
root          42  0.0  0.0      0     0 ?        I<   Oct24   0:00  \_ [md_bitmap]
root          43  0.0  0.0      0     0 ?        I<   Oct24   0:00  \_ [edac-poller]
root          44  0.0  0.0      0     0 ?        S    Oct24   0:00  \_ [watchdogd]
root          46  0.0  0.0      0     0 ?        I<   Oct24   0:11  \_ [kworker/1:1H-kblockd]
root          63  0.8  0.0      0     0 ?        S    Oct24  44:44  \_ [kswapd0]
root         125  0.0  0.0      0     0 ?        I<   Oct24   0:00  \_ [kthrotld]
root         126  0.0  0.0      0     0 ?        I<   Oct24   0:00  \_ [acpi_thermal_pm]
root         128  0.0  0.0      0     0 ?        I<   Oct24   0:00  \_ [kmpath_rdacd]
root         129  0.0  0.0      0     0 ?        I<   Oct24   0:00  \_ [kaluad]
root         130  0.0  0.0      0     0 ?        I<   Oct24   0:00  \_ [ipv6_addrconf]
root         131  0.0  0.0      0     0 ?        I<   Oct24   0:00  \_ [kstrp]
root         170  0.0  0.0      0     0 ?        I<   Oct24   0:00  \_ [zswap-shrink]
root         184  0.0  0.0      0     0 ?        I<   Oct24   1:25  \_ [kworker/0:1H-xfs-log/xvda1]
root         342  0.0  0.0      0     0 ?        I<   Oct24   0:00  \_ [rpciod]
root         343  0.0  0.0      0     0 ?        I<   Oct24   0:00  \_ [xprtiod]
root         429  0.0  0.0      0     0 ?        I<   Oct24   0:00  \_ [ata_sff]
root         431  0.0  0.0      0     0 ?        I    Oct24   0:02  \_ [kworker/u30:2-writeback]
root         432  0.0  0.0      0     0 ?        S    Oct24   0:00  \_ [scsi_eh_0]
root         438  0.0  0.0      0     0 ?        I<   Oct24   0:00  \_ [scsi_tmf_0]
root         439  0.0  0.0      0     0 ?        S    Oct24   0:00  \_ [scsi_eh_1]
root         442  0.0  0.0      0     0 ?        I<   Oct24   0:00  \_ [scsi_tmf_1]
root         463  0.0  0.0      0     0 ?        I<   Oct24   0:00  \_ [xfsalloc]
root         464  0.0  0.0      0     0 ?        I<   Oct24   0:00  \_ [xfs_mru_cache]
root         465  0.0  0.0      0     0 ?        I<   Oct24   0:00  \_ [xfs-buf/xvda1]
root         466  0.0  0.0      0     0 ?        I<   Oct24   0:00  \_ [xfs-conv/xvda1]
root         467  0.0  0.0      0     0 ?        I<   Oct24   0:00  \_ [xfs-cil/xvda1]
root         468  0.0  0.0      0     0 ?        I<   Oct24   0:00  \_ [xfs-reclaim/xvd]
root         469  0.0  0.0      0     0 ?        I<   Oct24   0:00  \_ [xfs-blockgc/xvd]
root         470  0.0  0.0      0     0 ?        I<   Oct24   0:00  \_ [xfs-log/xvda1]
root         471  0.0  0.0      0     0 ?        S    Oct24   0:24  \_ [xfsaild/xvda1]
root       93143  0.0  0.0      0     0 ?        I    Oct25   0:01  \_ [kworker/u30:0-events_unbound]
root      174553  0.0  0.0      0     0 ?        I    Oct27   0:00  \_ [kworker/u30:3-events_unbound]
root      216471  0.0  0.0      0     0 ?        I    08:06   0:00  \_ [kworker/1:1-cgroup_pidlist_destroy]
root      216472  0.0  0.0      0     0 ?        R    08:12   0:00  \_ [kworker/0:1-xfs-buf/xvda1]
root      216475  0.0  0.0      0     0 ?        I    08:17   0:00  \_ [kworker/0:2-xfs-buf/xvda1]
root      216476  0.0  0.0      0     0 ?        I    08:18   0:00  \_ [kworker/1:0-cgroup_pidlist_destroy]
root      216481  0.0  0.0      0     0 ?        I    08:22   0:00  \_ [kworker/0:0-xfs-buf/xvda1]
root      216574  0.0  0.0      0     0 ?        I    08:25   0:00  \_ [kworker/1:2-events_power_efficient]
root      216576  0.0  0.0      0     0 ?        I    08:25   0:00  \_ [kworker/0:3-xfs-buf/xvda1]
root      216748  0.0  0.0      0     0 ?        I    08:26   0:00  \_ [kworker/1:3-events_power_efficient]
root      216751  0.0  0.0      0     0 ?        I    08:27   0:00  \_ [kworker/u30:1]
root           1  0.0  0.1 238676  6884 ?        Ss   Oct24   1:59 /usr/lib/systemd/systemd --system --deserialize 20
rpc          628  0.0  0.0  67328   732 ?        Ss   Oct24   0:02 /usr/bin/rpcbind -w -f
root         629  0.0  0.0 131216   920 ?        S<sl Oct24   1:40 /sbin/auditd
root         641  0.0  0.0  48724   380 ?        S<   Oct24   0:00  \_ /usr/sbin/sedispatch
daemon       679  0.0  0.0 233172  3116 ?        Rsl  Oct24   0:34 /usr/sbin/rngd -f --fill-watermark=0 -x pkcs11 -x nist -x qrypt -D daemon:daemon
dbus         680  0.0  0.0  57800  1880 ?        Ss   Oct24   0:21 /usr/bin/dbus-daemon --system --address=systemd: --nofork --nopidfile --systemd-activation --syslog-only
root         681  0.0  0.0 125000   652 ?        Ssl  Oct24   1:42 /usr/sbin/irqbalance --foreground
root         684  0.0  0.0  81664   988 ?        Ss   Oct24   1:09 /usr/lib/systemd/systemd-logind
chrony       696  0.0  0.0 140188  1428 ?        S    Oct24   1:14 /usr/sbin/chronyd
root         734  0.0  0.0 590692  2684 ?        Ssl  Oct24   3:47 /usr/sbin/NetworkManager --no-daemon
root         742  0.0  0.1 328176  5440 ?        Ss   Oct24   1:38 php-fpm: master process (/usr/local/cwp/php71/etc/cwpsrv.conf)
root         749  0.0  0.1 328300  5460 ?        Ss   Oct24   1:43 php-fpm: master process (/usr/local/cwp/php71/etc/php-fpm.conf)
root         758  0.0  0.0 284248  1104 ?        Ss   Oct24   0:00 /usr/sbin/pure-ftpd /etc/pure-ftpd/pure-ftpd.conf
root         759  0.0  0.0 314972   704 ?        Ssl  Oct24   0:58 /usr/sbin/gssproxy -D
polkitd     1032  0.0  0.2 1610060 8204 ?        Ssl  Oct24   0:04 /usr/lib/polkit-1/polkitd --no-debug
root        1139  0.0  0.0 107804  1352 ?        Ss   Oct24   1:18 /usr/libexec/postfix/master -w
postfix     1144  0.0  0.0 121960  1172 ?        S    Oct24   1:51  \_ qmgr -l -t fifo -u
postfix   216441  0.7  0.0 121840  1128 ?        S    06:50   0:46  \_ pickup -l -t fifo -u -o content_filter= -o receive_override_options=no_header_body_checks
postfix   216703  0.2  0.0 122012  2048 ?        S    08:25   0:00  \_ proxymap -t unix -u
postfix   216784  0.0  0.2 121848 10236 ?        S    08:28   0:00  \_ trivial-rewrite -n rewrite -t unix -u
postfix   216827  0.0  0.2 121976  8912 ?        S    08:28   0:00  \_ cleanup -z -t unix -u
root        1214  0.0  0.2 248396  9480 ?        Ssl  Oct24   2:36 /usr/sbin/rsyslogd -n
root        1349  0.0  0.0  26204   204 ?        Ss   Oct24   0:17 /usr/sbin/atd -f
root        1350  0.0  0.0 219324   116 ttyS0    Ss+  Oct24   0:00 /sbin/agetty -o -p -- \u --keep-baud 115200,38400,9600 ttyS0 vt220
root        1351  0.0  0.0 219684   112 tty1     Ss+  Oct24   0:00 /sbin/agetty -o -p -- \u --noclear tty1 linux
root        8008  0.0  0.0 235732  1696 ?        Ss   Oct24   1:22 /usr/sbin/crond -n
root      216486  0.0  0.0 253948   992 ?        S    08:25   0:00  \_ /usr/sbin/CROND -n
root      216490  0.0  0.0 222600   228 ?        Ss   08:25   0:00      \_ /bin/sh -c /usr/bin/flock -n /var/run/cloudlinux_getstats.cronlock /bin/sh /var/log/server-status/getstats.sh >/dev/null 2>&1
root      216491  0.0  0.0 221424    92 ?        S    08:25   0:00          \_ /usr/bin/flock -n /var/run/cloudlinux_getstats.cronlock /bin/sh /var/log/server-status/getstats.sh
root      216638  0.0  0.0 222600   252 ?        S    08:25   0:00              \_ /bin/sh /var/log/server-status/getstats.sh
root      216910  0.0  0.1 257656  3980 ?        R    08:28   0:00                  \_ ps axuf
root       13435  0.0  0.0  76728   940 ?        Ss   Oct24   0:00 /usr/sbin/sshd -D -oCiphers=aes256-gcm@openssh.com,chacha20-poly1305@openssh.com,aes256-ctr,aes256-cbc,aes128-gcm@openssh.com,aes128-ctr,aes128-cbc -oMACs=hmac-sha2-256-etm@openssh.com,hmac-sha1-etm@openssh.com,umac-128-etm@openssh.com,hmac-sha2-512-etm@openssh.com,hmac-sha2-256,hmac-sha1,umac-128@openssh.com,hmac-sha2-512 -oGSSAPIKexAlgorithms=gss-curve25519-sha256-,gss-nistp256-sha256-,gss-group14-sha256-,gss-group16-sha512-,gss-gex-sha1-,gss-group14-sha1- -oKexAlgorithms=curve25519-sha256,curve25519-sha256@libssh.org,ecdh-sha2-nistp256,ecdh-sha2-nistp384,ecdh-sha2-nistp521,diffie-hellman-group-exchange-sha256,diffie-hellman-group14-sha256,diffie-hellman-group16-sha512,diffie-hellman-group18-sha512,diffie-hellman-group-exchange-sha1,diffie-hellman-group14-sha1 -oHostKeyAlgorithms=ecdsa-sha2-nistp256,ecdsa-sha2-nistp256-cert-v01@openssh.com,ecdsa-sha2-nistp384,ecdsa-sha2-nistp384-cert-v01@openssh.com,ecdsa-sha2-nistp521,ecdsa-sha2-nistp521-cert-v01@openssh.com,ssh-ed25519,ssh-ed25519-cert-v01@openssh.com,rsa-sha2-256,rsa-sha2-256-cert-v01@openssh.com,rsa-sha2-512,rsa-sha2-512-cert-v01@openssh.com,ssh-rsa,ssh-rsa-cert-v01@openssh.com -oPubkeyAcceptedKeyTypes=ecdsa-sha2-nistp256,ecdsa-sha2-nistp256-cert-v01@openssh.com,ecdsa-sha2-nistp384,ecdsa-sha2-nistp384-cert-v01@openssh.com,ecdsa-sha2-nistp521,ecdsa-sha2-nistp521-cert-v01@openssh.com,ssh-ed25519,ssh-ed25519-cert-v01@openssh.com,rsa-sha2-256,rsa-sha2-256-cert-v01@openssh.com,rsa-sha2-512,rsa-sha2-512-cert-v01@openssh.com,ssh-rsa,ssh-rsa-cert-v01@openssh.com -oCASignatureAlgorithms=ecdsa-sha2-nistp256,ecdsa-sha2-nistp384,ecdsa-sha2-nistp521,ssh-ed25519,rsa-sha2-256,rsa-sha2-512,ssh-rsa
named      13481  0.0  0.5 317776 21368 ?        Ssl  Oct24   1:10 /usr/sbin/named -u named -c /etc/named.conf
root       13668  0.2  0.4 620160 15256 ?        Ssl  Oct24  12:33 /usr/libexec/platform-python -Es /usr/sbin/tuned -l -P
root       13781  0.0  0.0  26844   604 ?        Ss   Oct24   0:00 /usr/sbin/dovecot -F
dovecot    13784  0.0  0.0  22440   388 ?        S    Oct24   0:00  \_ dovecot/anvil
root       13785  0.0  0.0  22576   540 ?        S    Oct24   0:00  \_ dovecot/log
root       13786  0.0  0.0  36296  1796 ?        S    Oct24   0:00  \_ dovecot/config
root       22318  0.0  0.0  83980  1112 ?        Ss   Oct24   1:13 /usr/lib/systemd/systemd-udevd
amavis     92533  0.0  3.9 522420 146792 ?       Ss   Oct25   1:04 /usr/sbin/amavisd (master)
amavis     92746  0.0  3.9 523964 146912 ?       S    Oct25   0:00  \_ /usr/sbin/amavisd (virgin child)
amavis     92747  0.0  3.9 523964 146912 ?       S    Oct25   0:00  \_ /usr/sbin/amavisd (virgin child)
root      204778  0.2  0.7 309504 28348 ?        Ss   00:00   1:05 lfd - sleeping
root      216669  0.0  0.7 309504 28348 ?        S    08:25   0:00  \_ lfd - checking system integrity
root      216679  0.7  0.0 228592   368 ?        R    08:25   0:01      \_ /usr/bin/md5sum --check /var/lib/csf/csf.tempint
root      209988  0.0  0.0  33340  1868 ?        Ss   03:24   0:00 cwpsrv: master process /usr/local/cwpsrv/bin/cwpsrv
root      209989  0.1  0.0  57500  3020 ?        S    03:24   0:20  \_ cwpsrv: worker process
root      209990  0.0  0.0  57372  2924 ?        S    03:24   0:04  \_ cwpsrv: worker process
root      210750  0.1  0.0 103976  2960 ?        Ss   03:24   0:31 /usr/local/apache/bin/httpd -k start
nobody    210753  0.5  0.3 1530520 13644 ?       Sl   03:24   1:34  \_ /usr/local/apache/bin/httpd -k start
nobody    210754  0.1  0.3 1530608 12780 ?       Sl   03:24   0:22  \_ /usr/local/apache/bin/httpd -k start
nobody    210755  0.0  0.4 1531144 15260 ?       Sl   03:24   0:13  \_ /usr/local/apache/bin/httpd -k start
nobody    211137  0.1  0.3 1530584 14624 ?       Sl   03:26   0:18  \_ /usr/local/apache/bin/httpd -k start
nobody    216037  4.4  0.3 1530548 11380 ?       Sl   06:46   4:32  \_ /usr/local/apache/bin/httpd -k start
nobody    216195  9.6  0.2 1530824 9340 ?        Sl   06:46   9:52  \_ /usr/local/apache/bin/httpd -k start
nobody    216196  6.5  0.2 1530548 8988 ?        Sl   06:46   6:42  \_ /usr/local/apache/bin/httpd -k start
nobody    216327  5.4  0.2 1530548 8720 ?        Sl   06:46   5:36  \_ /usr/local/apache/bin/httpd -k start
nobody    216426  0.6  0.1 1530280 6392 ?        Sl   06:46   0:38  \_ /usr/local/apache/bin/httpd -k start
nobody    216428  0.6  0.1 1530280 5308 ?        Sl   06:46   0:37  \_ /usr/local/apache/bin/httpd -k start
root      216487  0.3  0.8 467324 32032 ?        DNs  08:25   0:00 /usr/libexec/platform-python /usr/bin/dnf makecache --timer
amavis    216757 56.2  3.5 417220 132768 ?       Rs   08:28   0:02 /usr/sbin/clamd -c /etc/clamd.d/amavisd.conf --foreground=yes
root      216771  1.5  0.2  87540  8680 ?        Ss   08:28   0:00 /usr/lib/systemd/systemd-journald
mysql     216790  3.5  2.4 1750424 92456 ?       Ssl  08:28   0:00 /usr/sbin/mysqld

I'm always leery of top -- frequently I find its results are red herrings; i/o blocking is generally a biggie. Glad you're getting pointed in the right direction.

thanks for replying.
in csf firewall, i set LF_INTEGRITY to 0. to stop to run "/usr/bin/md5sum --check /var/lib/csf/csf.tempint"
also disabled AMaViS service. to stop to run "/usr/sbin/clamd -c /etc/clamd.d/amavisd.conf --foreground=yes"
i will monitor server if got high read throughput