В момент авторизации пользователя, записываю информацию о нём в Application. И так для каждого. В момент выхода удаляю его из Application.
Как быть, если истекло время сессии пользователя или он просто закрыл браузер.
Ну рано или поздно все равно сработает событие окончания сессии:

protected void Session_End(Object sender, EventArgs e)
        {            
        }

вот тогда и удаляй пользователей.

совершенно не обязательно, что сработает Session_End.
пиши в базу (или как у тебя в Application) время последнего обращения пользователя, а когда будешь показывать on-line пользователей, выбирай только тех, кто последний раз обращался менее 10 минут назад.
А при каких это условиях не сработает Session_End?

Session_End не работает если не InProc сессия.
Сессия заканчивается независимо от того, открыт или закрыт браузер - она заканчивается по таймауту

Ну это само собой.