Вместо того, чтобы проходить через все классы контроллеров и применять надлежащий атрибут, есть какой-то способ сделать это глобально?
Создайте базовый контроллер с правильным атрибутом и наследуйте от него все ваши контроллеры.
Вы также можете отключить состояние сеанса для всего приложения, см. Ответ Дарина :
Чтобы отключить сеанс глобально для всего приложения, установите следующий в вашем web.config: <sessionState mode="Off" />
<sessionState mode="Off" />