>apparmor - отключить или исправить профайл для bind9

спасибо за подсказку про apparmor
посмотрел профиль касаемо bind9 /etc/apparmor.d/usr.sbin.named
там есть такие строчки
  # some people like to put logs in /var/log/named/ instead of having
  # syslog do the heavy lifting.
  /var/log/named/** rw,
  /var/log/named/ rw,

Я так понял, это разрешает named писать в эту папку
заменил в named.conf.options
  statistics-file "/var/log/named/named.stats";
  memstatistics-file "/var/log/named/named.memstats";

перезапустил bind9, ошибки исчезли
надо не забыть дать права для bind для /var/log/named