Вопрос по bind

Долгое время я не мог понять, почему мой настроенный сервер не отдает, скажем mail.ru. Потом понял: хоть allow-query и all по умолчанию, однако рекурсия отключена. Т.е. пробиться к серваку можно, однако рекурсивные запросы он не обрабатывает, поэтому, фактически, всем зонам, кроме тех, за которые он отвечает - отлуп.

Вопрос такой: если включить на мастер сервере рекурсию, насколько он может быть подвержен атакам? Каким образом можно его обезопасить? Понимаю, что тема очень объемная, не для ответа на форуме - может кто-нибудь ткнет меня носом в то место, где это можно прочитать? мне нужно в идеале, чтобы был полностью открытый dns, но и полностью безопасный. Т.е. по максимуму исключить как ddos на него, так и его участие в ddos атаках.

Всем заранее спасибо за ответ :)