System.Web'in altına session timeout koyabilirsin. Böylece belirttiğin süre boyunca düşmez session. Ama hiç işlem yapmıyorsa otomatik olarak düşer. Yani atıyorum 20 dk'ya ayarladın, 5dk işlem yapmazsa otomatik olarak düşer session güvenlik açısından.

<sessionState timeout="1250"/>