创建一个普通用户tom，将其加入sudo组，该用户作为系统管理员
groupadd sudo #创建sudo组
useradd -G sudo tom #创建tom用户，加入sudo组
passwd tom #设置tom用户的登陆密码
修改sudo配置文件，授权sudo组的用户可以以root身份执行所有命令（可以针对不同用户授予不同的命令执行权限，这里允许执行所有命令，生产环境中系统管理员应该按需为用户分配尽可能少的可执行命令，以实现权限最少化），用户执行的所有sudo操作都将记录在/var/log/sudo.log中，以便日后的安全事件排查。执行命令如下：
[root@cloud ~]# cat >> /etc/sudoers <<EOF
> %sudo ALL=(root) ALL
> Defaults logfile=/var/log/sudo.log
> EOF
[root@cloud ~]# visudo -c
[root@cloud ~]# echo "local2.debug /var/log/sudo.log" >> /etc/syslog.conf
[root@cloud ~]# /etc/init.d/syslog restart
注："visudo -c"命令用于检查 /etc/sudoers 文件的语法正确性
四、内核安全参数设置vim /etc/sysctl.conf #添加如下内容：
#关闭对ping包的响应(可选，一般不建议，因为不方便网络故障时的排查)
net.ipv4.icmp_echo_ignore_all = 1
#关闭对广播ping的响应
net.ipv4.icmp_echo_ignore_broadcasts = 1
#开启syncookie用于防范syn flood攻击，当出现syn等待队列溢出时（syn数量超过tcp_max_syn_backlog的设置值），启用cookie来处理，server在回复syn_ack前会先请求client回复一个序列号，该序列号中要求包含原先syn包中的信息，如果序列号不正确，则server端会忽略此syn连接。
net.ipv4.tcp_syncookies = 1
#设置sync_ack的最大重传次数，默认值为5，范围0-255，重传5次的时间大约为180s
net.ipv4.tcp_synack_retries = 3
# 设置当keepalive打开的情况下，keepalive消息的发送间隔，默认为2小时(由于目前网络攻击等因素,造成了利用这个进行的攻击很频繁,如果两边建立了连接，然后不发送任何数据或者rst/fin消息,那么持续的时间就是2小时,成就了空连接攻击，tcp_keepalive_time就是预防此情形的.）
net.ipv4.tcp_keepalive_time = 1200
