Já pensou em invalidar a sessão?
Se quiser tirar um a um, olhe a interface HttpSession e veja que ela tem um método que devolve uma enumeração de nome de atributos e você pode retirá-los assim.
Já dei a resposta, é só ter um pouco de criatividade.
Até!
Obs.: retifiquei inadequações.