На сколько защищиены от угона сессии tomcat?

Настолько же просто, насколько просто подменить куку. Ваш К.О.

Как минимум, выставляй флажок secure для кук. Включи HSTS на стороне сервера, или со стороны приложения использую только HTTPS. Если клиентская сторона не браузер (в последних версиях всех основных браузеров защита уже встроена), то нужно предусмотреть возможность так называемой Cookie Cutter атаки.

Идентификатор сессии генерируется случайным образом и он достаточно длинный, чтобы его невозможно было подобрать перебором. Но его можно посмотреть в настройках браузера, если есть доступ к компьютеру.

Рекомендуется во-первых ограничивать время действия сессии (например одним часом), во-вторых запоминать и проверять IP-адрес клиента.

Помимо этого по умолчанию JavaScript-код может читать значения cookies. Если тебе это не надо, рекомендуется выставлять флажок HTTP-ONLY для сессионных кук.

На сколько защищиены от угона сессии tomcat

На столько, на сколько на любой другой веб-платформе. Так что вопрос глобальнее единичной реализации в tomcat.

https://tomcat.apache.org/tomcat-8.0-doc/security-manager-howto.html -Ваш К.О..

---

А вообще взгляните в сторону вот этого

http://projects.spring.io/spring-security/

http://it-ebooks.info/book/5195/

http://habrahabr.ru/post/203318/