服务器被入侵是一个非常严重的问题，因此及时发现和处理入侵行为是至关重要的。下面是一些常用的方法和操作流程来检查服务器是否被入侵。
日志分析：
查看系统日志：服务器的系统日志记录了操作系统的活动，包括登录、文件操作等。通过分析系统日志，可以找出异常的登录行为、不寻常的活动等。常见的系统日志文件包括/var/log/messages、/var/log/auth.log等。
查看应用程序日志：服务器上运行的各种应用程序也会有相应的日志记录。例如，Web服务器（如Apache、Nginx等）的访问日志、数据库服务器的查询日志等。通过分析这些日志，可以发现异常的访问、攻击行为等。
监控网络流量：
使用网络监控工具：可以通过使用网络流量监控工具（如Wireshark）来监视服务器的网络流量。通过观察传入和传出的网络数据包，可以检测到不寻常的连接、异常的网络活动等。
检查网络连接：使用命令（如netstat）查看当前服务器的网络连接情况。特别注意查找是否存在未知的连接或者大量的连接请求。
检查文件系统：
检查系统文件：对比系统文件的哈希值，查看是否有被修改或替换的文件。可以使用工具（如tripwire）来进行系统文件的完整性检查。
检查敏感文件：检查服务器上的敏感文件（如密码文件、配置文件等）是否存在异常修改，比如检查是否存在未知用户或未授权的用户账号。
IDS/IPS系统：
使用入侵检测系统（IDS）或入侵防御系统（IPS）：IDS和IPS系统可以监控并检测服务器上的入侵行为，并采取相应的防御措施。当检测到可疑的活动时，可以发送警报通知系统管理员。
安全审计：
进行定期的安全审计：定期对服务器进行安全审计，包括检查服务配置、访问控制、补丁更新等方面。可以使用自动化的工具来辅助进行安全审计，例如OpenVAS、Nessus等。
监控异常行为：监控服务器上的异常行为，例如非授权的访问、异常的进程行为等。这可能需要使用行为分析工具（如Osquery、Sysdig等）来收集和分析服务器上的活动数据。
以上是一些常用的方法和操作流程来检查服务器是否被入侵。请注意，这些方法只是初步的检查手段，如果怀疑服务器被入侵，应该尽快采取适当的应对措施，例如隔离服务器、修补漏洞、重建系统等。