Как защитить поддомены от сканирования?
Можно только блокировать доступ к IP адресам A записей поддоменов, а скрыть сами записи нельзя. Или можно например сделать не b.domain.com, а myfgfqt.domain.com. Программы по перебору поддоменов как правила не используют сложные названия или процесс бутфорсинга будет идти до 4 дней.
скрыть "А" записи от прямого просмотра
это из настроек ДНС. Трансфер зоны domain.com должен быть разрешен только для секондари днс-сервера и запрещен для всех остальных. Если у Вас так и есть, тогда все норм
А сканируют по ip. В этом случае смотрим на fail2ban