¿que debo de hacer para saber que usuario se esta cosumiendo los recursos?
Comando "top" y ahi puedes ver los procesos y sus consumos.
¿como puedo saber si esta haciendo algo indebido?
Puedes usa el RKHunter para verificar si tienes algun regalito en tu server.
¿como lo puedo botar al usuario y no dejarlo entrar?
Si es por SSH aqui tienes un ejemplito: http://www.rinconinformatico.net/matando-sesiones-ssh/
¿si no es un usuario, como puedo saber que es lo que esta haciendo que el servidor se haga lento?
El comando TOP te da mucha información de tu server y sis procesos seria bueno que lo ejecutes en tu server y ahi verifiques algo improtante que son los procesos zombie que son los que debes evitar.
Me olvidaba algo importante, "revisar todos lso días lso LOGS de tu server, esa debe ser tu labor de todas las mañanas como tomar el desayuno!"
Saludos