なら、クライアントがどうリクエストを偽造しても勝手に HttpSession に変な値を入れるのは不可能なので
JSP の頭にそんなコードを記述すれば良い。

<%
　　if(session.getAttribute("userid") == null){
　　　　response.sendRedirect(request.getContextPath() + "/index.jsp");
　　　　return;
　　}
%>

まぁ他に JSP がたくさんあるなら /* のリクエストにログイン確認用の Filter
仕掛けた方が楽だと思うが。