Son virtuales en el sentido de que no hay una interface física para tus maquinas virtuales. Tecnicamente tu puedes también agregar interfaces físicas a tu maquina virtual (por ejemplo, una tarjeta de red o una tarjeta inalambrica USB).

Que tan seguro sea va a depender de la configuración de tus interfaces virtuales. En el peor de los casos, la VM puede ser comprometida desde el exterior. De ahí un atacante puede realizar varias cosas, como tratar de comprometer el equipo através de la red (si tu equipo lo permite). O quizás intenta escapar la VM (algo que no es fácil).

No se a que te refieras con abrir o cerrar puertos en la VM. El host tiene practicamente todo el control sobre que tráfico puede ver la VM. Si tu VM permite tráfico por un puerto, el equipo host todavía puede bloquear ese tráfico.

Por lo general, la configuración entre host y guest es de una NAT estricta. Dudo mucho que la maquina sea visible al exterior... Para empezar tu equipo tendría también que estar expuesto al exterior y luego tendrías que configurar la VM también.

No son "ficticias". Las reglas y aplicaciones que tu uses dentro de tu VM van a aplicar solo a tu VM. Tu equipo usa una interfaz virtual que se comunica con una interfaz de un dispositivo real en el anfitrion.

Algo así como esto (pero no exactamente):



El punto es que el host ve todo el tráfico que pasa a la VM. Tu VM no tiene control del host (a menos que se lo permitas). Puedes considerar a tu host como un router/firewall para tu VM.

¿Puedes configurar tu equipo host para que tu VM reciba tráfico de otros equipos por un determinado puerto? Si, pero si tu equipo host tuviera también su firewall tendrías que configurar una regla de entrada para ese puerto en el equipo host. Vamos, que si tu host no recibe nada del exterior tu VM tampoco.