Certain serveurs d'application proposent la gestion des session en standard (comme Websphere, tomcat etc...). Cherche "j_security_check" sur internet avec le nom de ton serveur d'application. En principe tu trouvera la solution à ton problème.
Tu peux définir la politique de sécurité au sein du serveur d'application avec JAAS. Regarde dans les docs, il y a souvent un chapitre sur la sécurisation des applications internets.
Une solution tierce est d'écrire le système toi même. Il te faux faire ce point en 2 parties :
_ sécurisé l'accès aux servlet
_ sécurisé l'accès aux JSP.
Lors d'un appel de la JSP, tu peux testé si la session de l'utilisateur est bien positionnée (request.getSession()).
Concernant la Servlet, tu peux faire la même chose. Je te conseille d'utiliser un filtre, c'est plus propre et il se déclenchera avant l'appel de la servlet,c e qui te permettra de rediriger ton utilisateur vers la page de login de ton site.
Bref, il y a trop de solutions à ton problème.....