devi usare la funzione confirm();

function security(){
var result = confirm(SEI SICURO ?');
if(result){
document.location.href='xxxx';
}else
return;
}