Диск Debian 9 был заполнен за ночь и опустошен на следующее утро? Как отследить проблему?

Вот скриншот мунина об этом:

Он наполнился примерно в: 07 / ноя / 2017: 19: 41: 03 и опустошился: 08 / ноя / 2017: 04: 05: 05.

Ближайшая cronjob была в 04:05:50, перезапуск postfix и dovecot.

Я знаю это из журналов других служб, корневые диски были настолько заполнены, что на этом этапе регистрация остановилась.

Я использую debian 9 со следующими запущенными службами:

[+] acpid [+] ajenti [+] apache-htcacheclean [+] apache2 [+] atd [+] avahi-daemon [+] cron [+] dbus [+] dovecot [+] fail2ban [+] irqbalance [+] ] kmod [+] memcached [+] minissdpd [+] munin-node [+] mysql [+] сеть [+] ntp [+] постфикс [+] procps [+] rc.local [+] rpcbind [+] rsyslog [+] smartmontools [+] ssh [+] stunnel4 [+] udev [+] автоматические обновления [+] urandom

У меня вопрос, как я могу отследить причину этого странного заполнения (и опустошения) диска? А если нет, можно как-то это предотвратить?