Странное с логон скриптом (иногда не работает - в 2% случаев примерно)⁠⁠

Логон скрипт на powershell содержит следующyю строчку:
`Invoke-RestMethod -Method Post -Uri $uri -Body $data -ContentType 'application/json' -UseDefaultCredentials -TimeoutSec 10`

$uri это просто айпишник, $data это просто джейсон

Именно эта строчка иногда зависает по таймауту в 10 секунд и вылетает в catch блок.
Все остальные строки скрипта отрабатывают нормально. Если бы это не работало в 100% случаев то было бы гораздо проще, но это происходит в 2-3% случаев, без какого либо паттерна (по пользователям или по компьютерам). К серверу который этот запрос принимает ничего не доходит.

Есть подозрение что одна из подсистем безопасности: анти-вирус или smartscreen или AMSI, блокирует запрос опираясь на какие-то эвристики - например может посчитать передачу NTLM credentials по не зашифрованному каналу в логон скрипте кражой кредсов. Это могло бы объяснить не постоянную природу блокировок запроса.

Что было рассмотрено/сделано:
- Фаервол - был всегда отключен и фаервол бы блокировал всегда а не иногда
- Сайт был добавлен в Trusted Sites - и это не помогло
- Прокси или DNS - прокси отсутствует (WPAD отключен), DNS не участвует поскольку uri это айпи адрес
- Сервер нагружен и не может 10 секунд прийти в себя - Сервер не нагружен к нему вообще ничего не дошло даже
- Компьютеры и Сервер находятся все в одном домене, в одном L3 сегменте, пинг 1 мс
- Пробовал включить логи WinHTTP, WinInet, Powershell в режиме Analytic, Debug - по ним особо ничего не поймешь даже когда все отрабатывает
- Стоит Eset Antivirus - в антивирусе нет никаких логов что он что-то заблокировал
- Procmon и прочие утилиты глубинного анализа не расматриваю потому что я узнаю пост-фактум о проблеме, не могу это воспроизвести по желанию.

Как можно добраться до первопричины? Спасибо
П.С.
Есть еще логофф скрипт который содержит такую же строчку и он с той же периодичностью не отрабатывает.