Сначала пишем атаки, затем защиты. Описываете их и пишите ваши затраты.