Как отследить кратковременные скачки нагрузки?

Ну и что, что VPS? Есть нормальные же хостеры с бесплатным администрирование хоть VPS, хоть полноценного выделенного сервера. Если вы таких не знаете, тогда это ваши проблемы и головная боль с хостингом.

Ну для начала почитайте регламент таких бесплатных администрирований. Все постепенно сводится, и будет сводиться к тому, что ничего лишнего делать не будут. И это хорошо.

И еще лучше, что начинается продвижение платного администрирования. Которое либо заложено в стоимость вдс (о каком бесплатном администрировании вдс за 500 рублей может идти речь, если час саппорта стоит столько же, а то и дороже?), либо продается отдельно.

Хостер должен обеспечивать работу своей услуги, а что там крутится внутри услуги, как оно работает, это другой вопрос. Если проблемы из-за производительности сервера - да, ответственность хостера. Если вас ддосят или флудят, а хостер не заявил L7 защиту, то какие могут быть к нему вопросы? Вы же не бежите к автопроизводителю крича о том, что вы купили машину, а водить не умеете? 

Они просто рестартуют)

Страшно представить кто будет выполнять это бесплатное администрирование и с какой квалификацией у такого бюджетного провайдера. Это подходит для дорвеев или неважных сайтов.

Этот товарищ почему-то решил, что его мнение о том, что есть на рынке, а чего нет, кому-то интересно:) Ни слова по вопросу который задавал ТС. 

Обратитесь к разработчику сайта, сайт и скрипты скорее всего необходимо оптимизировать.
Всегда один ответ у всех хостеров.

Ну так хостер не веб студия и не занимается сопровождением сайтов.
Задача хостера обеспечивать стабильную работу серверов, на которых размещаются эти сайты.

Сами себе противоречите ))))

А в чём противоречие?
Сервер работает, услуги других клиентов тоже доступны, а то что напали боты на сайт одного из клиентов, это не проблема хостера.

Код приложения это не ответственность хостера. Задача хостера - следить за работой инфраструктуры, именно ее арендуют. То, что клиенты это не понимают или делают вид, что не понимают - их проблема. Просто кто-то думает, что может на халяву получить за пару баксов и администрирование vps/дедика и еще чтобы ковырялись в их скриптах. В большинстве случаев проблема именно в неоптимизированных скриптах, которые создают высокую нагрузку или же владелец сайта даже не понимает что трафик может быть выше или боты могут генерить эту нагрузку.

"Как отследить кратковременные скачки нагрузки? " Настраиваешь например Zabbix с уведомлением в телеграм.   Обязательно нужно лечь спать. Как только звук телеграма тебя разбудит быстро быстро смотришь логи вебсервера. Ага, а там ничего не видно, да и логирование не настроил. Ну тогда httpry запускаем. Главное делаем умное лицо и смотрим на какие именно страницы сайта идет нагрузка. Обязательно, при этом облегчено вздыхаем,  что круто - трафик не по ip  идет, а по домену!
Увидел? И ложись спать. Можно конечно Cloudflare БЕСПЛАТНЫЙ подключить и позвонить собственнику сайта и сказать а давайте  нажмем кнопку «I’m Under Attack!».  Нагрузка сразу исчезнет, а то что трафик на сайт пропадет, то не существенно. Зато нагрузку победили😊

На счет администрирование VPS хостером не важно платно или бесплатно. Это было бы смешно, если бы не было грустно. Вы должны понимать, что хостер сотруднику на закрытие тикета выделяет от 5 до 7 минут. За это время сотрудник может залогинеться по SSH и посмотреть, а не закончилось у тебя место на диске и запустить dmesg  и увидеть что у тебя упал Mysql. Соответственно ответ в тикете перейдите на тариф дороже.