Bind secure zone

Подскажите, плиз, как сделать так, чтобы bind не отдавал каждому встречному всю зону (например в nslookup - ls -d domain.ru), а только отвечал на конкретные запросы. Не хочется все хосты светить.