Per controllare se in sessione ti basta vedere se nella mappa di sessione esiste l'utente
codice:
ExternalContext ectx = ctx.getExternalContext();
Map<String, Object> map = ectx.getSessionMap();
if(map.containsKey("utenteInSessione"))
{
  l'utente è loggato
}else
{
 l'utente non è loggato
}
Cmq, ti consiglio di dare un occhio a JAAS in quanto l'autenticazione può venire gestita in automatico dall' application server.