>apparmor - отключить или исправить профайл для bind9 спасибо за подсказку про apparmor
посмотрел профиль касаемо bind9 /etc/apparmor.d/usr.sbin.named
там есть такие строчки
# some people like to put logs in /var/log/named/ instead of having
# syslog do the heavy lifting.
/var/log/named/** rw,
/var/log/named/ rw,
Я так понял, это разрешает named писать в эту папку
заменил в named.conf.options
statistics-file "/var/log/named/named.stats";
memstatistics-file "/var/log/named/named.memstats";
перезапустил bind9, ошибки исчезли
надо не забыть дать права для bind для /var/log/named